Claude CodeもCodexもCSRFを見落とした ── AIコーディングツールのセキュリティ検証能力の限界

概要

AIコーディングツールが生成するコードの約8割にセキュリティ脆弱性が含まれている現状と、その技術的原因、および実務的な多層防御策を解説した記事。

詳細内容

2025年の最新調査（Tenzaiやカーネギーメロン大学の研究）により、Claude CodeやCodex、Cursorといった主要なAIコーディングエージェントが、生成したアプリケーション全てにおいてCSRF対策を欠落させていたことが判明しました。記事では、AIがセキュリティを見落とす原因を「学習データの偏り（インセキュアなコードの多さ）」「TransformerのAttentionメカニズムが機能実装を優先する特性」「複数ファイルにまたがるコンテキスト把握の限界」の3点から技術的に分析。対策として、コード生成とセキュリティ検証のフェーズ分離、CLAUDE.mdへの具体的なセキュリティルールの記述、CI/CDパイプラインでの静的解析（Semgrep等）の強制、そして人間によるビジネスロジックのレビューを組み合わせた「人間＋AI」のワークフローを提唱しています。

元記事を読む他のサマリーを見る