ソフトウェア品質の時代、あるいはダチョウの時代？

概要

AIによる脆弱性検出能力が劇的に向上した2026年において、オープンソースプロジェクトはAI生成の報告を拒絶するのではなく、その氾濫に対処するための新たな運用体制を築くべきであると提言している。

詳細内容

GNOME開発者のMichael Catanzaro氏による、AI時代のソフトウェアセキュリティに関する洞察です。氏は、人間がC/C++等の安全でない言語で完璧なコードを書くことは不可能であり、2026年現在、AIによる脆弱性スキャンは不可欠なツールになったと述べています。AI生成の報告書はかつての「質の低いゴミ（Slop）」から、実用的なセキュリティ指摘へと進化しており、GNOMEやWebKitGTKにおけるCVE発行件数の急増がその証左です。しかし、この「脆弱性の波」はボランティアのメンテナを疲弊させ、GNOMEのバグバウンティプログラムを終了に追い込むなどの副作用も生んでいます。氏は、AI生成の報告を禁止する方針は「現実逃避（ダチョウの平和）」であると批判し、AIを賢く受け入れつつ、コードコメントやコミットメッセージへの無批判な利用を制限するバランスの取れたポリシーの必要性を説いています。また、Rustについてもメモリ安全性は認めつつ、Cargoによるサプライチェーンリスクの観点から慎重な見解を示しています。

元記事を読む