OWASP AISVSから見るAIコーディングツールのセキュアな活用

生成AIを活用したコーディングツールの普及とともに、セキュリティリスクという課題が浮上しています。AISVSはAIシステム全体のセキュリティ検証を対象とし、Appendix Cは開発現場での実践的なコントロールを14件に整理しています。

本ブログでは中でもAC.3「プロンプトとコンテキストの保護」とAC.4「AIが生成したコードの検証」を中心に、AC.8「自律型AIエージェントの変更管理制約」AC.11「AIコードレビューボットの強化」AC.12「AIを考慮したCI/CDパイプラインの強化」の5件を取り上げ、外部コンテンツの取り扱い、マージ前検証、自動化の安全性確保といった観点を要点として整理します。

AC.3は機密情報の混入防止と外部入力のスクリーニングを求め、AC.4は人手による検証と自動スキャンを組み合わせた承認フローを求めます。AC.8は自律エージェントによる自己承認を技術的に防ぐ職務分離の徹底を、AC.11はリポジトリの入力を信頼できない入力として扱いボット設定の保護と権限管理を求めます。AC.12はCI/CDパイプラインでのシークレット保護とセキュリティレビューの義務化を強調します。

この5件のコントロールは、AI導入による新たなリスクを軽減するための具体的な手段として位置づけられており、AISVSの実務適用を理解するうえで参考になるとされます。