AIがコードを書く速度は、セキュリティチームのレビュー速度を上回りつつある。ActiveStateが支援し参加したLinux Foundationの新調査によると、58%のチームが、セキュリティレビューが追いつかない速度でコードをリリースしている。一方、60%の回答者は、AIプログラミングアシスタントが自社のコードベースに外部パッケージの数を増やしたと述べている。しかし、これらのパッケージがもたらす間接的な依存関係、すなわち「伝達依存関係」については、チームがレビューするのは約半分のケースのみである。
ActiveStateは、この新規研究のスポンサーおよび貢献者である。本研究は、Open Source Security Foundation（OpenSSF）およびLF AI & Data Foundationによって支援されている。ActiveStateは月曜日、『2026年AIがソフトウェアセキュリティおよびサイバーセキュリティに与える影響の現状』（State of AI Impact on Software Security and Cybersecurity 2026）の調査結果を発表した。調査によると、AI駆動のソフトウェア開発速度と、組織が生み出されたコードのセキュリティを保護する能力の間で、差が拡大しつつある。
研究によると、AIがコード生成と脆弱性発見を同時に加速しているため、これらの課題はますます切実になっており、攻撃者がセキュリティ上の欠陥を悪用する前に組織が問題を特定し修正する時間が減少している。2026年10月のPHP2Shell脆弱性は、この緊急性を浮き彫りにした：脆弱性が公表されて数時間以内に緊急パッチがリリースされ、悪用試行が報告された。研究では、脆弱性の特定と悪用の速度が急速に向上する中、組織はセキュリティレビュー、依存関係の監査、修正作業がこのペースに追いつくよう強く求められている。
この調査は、企業およびオープンソースプロジェクトの172人のセキュリティ専門家を対象としています。調査によると、AIも解決策の一部ですが、いくつかのトレードオフを伴います。回答者の30%は、過去1年間に発見された脆弱性のうちAI支援ツールによって検出されたと回答し、69%の回答者は、これらのツールがセキュリティ体制を大幅に改善したと述べています。平均して、AIツールはセキュリティ作業を17%高速化しましたが、脆弱性の誤検出により専門家の作業量は30%増加しており、AIがもたらす効率向上と有効なセキュリティ監督とのバランスが必要であることが浮き彫りになっています。
ActiveStateのCEOであるAbby Kearnsは、「AIプログラミングアシスタントはコードを書くだけでなく、依存関係を選択します。この研究では、チームがそれに伴う内容を約半分しか確認していないことが示されています。これは、私たちが毎週顧客から聞く状況と一致しています。開発者の速度を落とすことは問題の解決にはなりません。解決策は、コードがコードベースに入る前に、どのコンポーネントを信頼するかを決定し、開発者とそのAIツールがセキュリティチームが承認したコンポーネントから始められるようにすることです。」
その他の主な発見には以下が含まれます：
- スキルがリスクにさらされています。82%の回答者が、AIツールへの過度な依存が開発者のセキュリティスキルを弱める可能性があると同意しています。
- 懸念が準備を上回っています。測定されたすべてのAI関連の脅威について、懸念している従事者の割合が、自分たちが準備ができていると感じている割合を上回っています。その差が最も大きいのは、AIによる自動化された脆弱性の悪用とファジングで、41ポイントの差があります。
- サプライチェーンが懸念リストの首位を占めている。サプライチェーン攻撃は93％のセキュリティ専門家が最も懸念する問題であり、その次が提示インジェクションで90％、高頻度のコンポーネント更新による保守負担が87％である。
- 責任の所在が明確でない。30％のチームのみがAI関連のセキュリティ脅威を専門に担当する役職を設けており、AIを含む正式なセキュリティポリシーを有するチームは約3分の1に過ぎない。
- 明確な責任歸屬は報酬をもたらす。AIセキュリティ専任ポジションを設置したチームの75％が、AIシステムに対する対抗的攻撃に対して十分に準備できていると回答したのに対し、全回答者ではこの割合は50％であった。
- 人間によるレビューはデフォルトでは要求されていません。AIセキュリティポリシーを有するチームのうち、AIが生成したコードに対する人間によるレビューを要求しているのは57％に過ぎません。
研究によると、これらの発見は、AIの採用が進むにつれて、セキュリティ責任をより明確に定義し、ガバナンスを強化する必要があることを示唆している。また、専任の役職を設置し、明確なポリシーを策定し、ツールを適切に実装することは、より高い準備度と関連しているが、今回の調査はこれらの実践が差異をもたらしたことを証明していない。
OpenSSFのAI/ML/LLM/エージェントシステムのセキュリティアーキテクトであるLaura Guazzelliは、「AIがソフトウェア開発を加速する中、組織は生成されるコードを同様に慎重にガバナンスし、保護する必要があります。これは、AIがソフトウェアサプライチェーンのどの段階でリスクをもたらすかを理解し、そのリスクに対応する責任者を明確にし、セキュリティ実践がソフトウェアの構築方法の変化に追いつくようにすることから始まります。」
報告では、組織がAI関連のセキュリティ脅威に対して明確な責任者を指定し、公式なAIセキュリティポリシーを策定し、生成されたコードに対する人的レビューを含めるとともに、直接依存関係と伝播依存関係の管理を強化することを推奨しています。これらの発見に基づき、ActiveStateは、スキャンとレビューに加えて、オープンソースコンポーネントの導入段階でガバナンスを実施することを提案しています。これにより、セキュリティチームが開発者やAIアシスタントがコンポーネントを導入する前に、どのコンポーネントをソフトウェアサプライチェーンに許可するかを決定できます。
全文報告『2026年におけるAIがソフトウェアセキュリティおよびサイバーセキュリティに与える影響』は、Linux Foundationのウェブサイトでご確認いただけます。内容には研究結果と実務上の提案が含まれています：https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
ActiveStateについて
ActiveStateは、AIコーディング時代において、ソフトウェアサプライチェーンの安全性を根本から確保することに取り組んでいることを示しています。ActiveState Curated Catalog——プライベートで審査済みのオープンソースコンポーネントリポジトリ——を通じて、セキュリティチームは、開発者やAIプログラミングアシスタントがコンポーネントを導入する前に、企業ソフトウェアに導入可能なコンテンツを決定できます。同社によると、これによりセキュリティチームは制御権を獲得しつつ、エンジニアリングチームの開発スピードを維持できます。Curated Catalogは、チームが既に使用しているアーティファクトリポジトリ、スキャナー、およびAIプログラミングアシスタントと連携して使用できます。詳細はactivestate.comをご覧ください。
情報源：ActiveState