AIコーディングツールは、オープンソースソフトウェアの保守とセキュリティ確保をより困難にしていると、Association for Computing MachineryのTechnology Policy Councilに寄稿した6名の著者たちが指摘しています。その中にはSimson Garfinkel氏やJosiah Dykstra氏も名を連ねています。これらのツールはコードを書き、セキュリティ上の欠陥を素早く発見してくれます。しかし、何をプロジェクトの正式リリースに組み込むかを決めるメンテナーたちは、依然としてその出力内容を自ら判断しなければなりません。
この負担は、ソフトウェアを利用するあらゆる人に及びます。オープンソースコードはスマートフォン、自動車、クラウドシステム、AIプラットフォームの内部に組み込まれており、著者たちが引用するHarvard Business Schoolの論文によれば、もしオープンソースが存在しなければ企業のソフトウェア支出は3.5倍に膨らむと推計されています。多くのプロジェクトは安定した収益源を持たず、こうしたプロジェクトでの保守の先送りは、それらの上に構築されたソフトウェアにセキュリティ上の穴を残しかねません。
人間がチェックすべきコードの増加
ほとんどのオープンソースプロジェクトは外部からの貢献を受け入れており、通常は何をコミット、つまり正式なコードベースに取り込むかを決定する、信頼されたコントリビューターのグループを維持しています。AIによってコードの記述と提出が容易になった結果、寄せられるコードの一部は質の低いものになっています。著者たちは、モデルの性能向上に伴って品質が改善する可能性は認めつつも、増加した量を評価する役割は依然として人間が担わなければならないとしています。
修正は速くなるが、攻撃も速くなる
世界中の非常に多くのソフトウェアが同じコードを使用しているため、そこで発見された欠陥は突出して大きな影響を及ぼす可能性があります。人気のリポジトリに悪意あるパッケージやコードを仕込む攻撃者は増加しています。
Googleによると、2025年4月から10月にかけて、同社のCodeMenderエージェントは「オープンソースプロジェクトに72件のセキュリティ修正を提供し、その中には450万行にも及ぶ規模のものも含まれていた」といいます。欠陥を発見し修正するモデルは、攻撃の構築にも利用され得ます。著者たちは、トップクラスのセキュリティモデルの利用を信頼できるユーザーに限定することが有効だとは考えていません。汎用モデルの性能が向上し続けているためです。
AIが発見した欠陥は、組織により早いパッチ適用を迫ります。しかし、多数のオープンソースコンポーネントから構成されるアプリケーションにとって、これは容易なことではありません。それぞれのコンポーネントごとに個別のパッチ適用と再リリースを、順を追って行う必要があるためです。
資金は偏っている
Linux Foundationは2024年に2億9,221万7,236ドルの収入を得ました。一方、ボランティア労働とスポンサーシップで運営されるプロジェクトの一例として著者たちが挙げるApache Software Foundationの収入は237万9,402ドルと、その1パーセントにも満たない水準にとどまっています。オープンソース全体で見ると、大多数のユーザーは対価を支払うことがなく、これはフリーライダー問題として知られるパターンです。
自分が何を使っているか分からないことも
ソフトウェア部品表(SBOM)とは、アプリケーション内部のコンポーネントを列挙した機械可読なリストです。米国とEUで義務化が進んでいるにもかかわらず、オープンソースアプリケーションの大多数はSBOMを生成も配布もしていません。仮にSBOMがあったとしても、何が存在するかを示すだけであり、各コンポーネントが保守されているか、資金提供を受けているか、安全か、あるいは放棄されているかまでは示してくれません。
オープンソースはプロジェクトごとに個別に統治されているため、AIの影響についてエコシステム全体にわたる数値を集めるのは困難です。著者たちは、プロジェクトがドキュメント作成、パッケージング、資金調達、要件収集により多くの資源を投じることを求めています。プロジェクトに何が必要かを判断し、コミュニティの合意を取り付ける作業は、依然として人間の手に委ねられているからです。著者たちの記述によれば、ほとんどの組織にとっておそらく最大の課題は、自らが利用するソフトウェアの統治体制、保守状況、セキュリティ状態を把握することであり、それによって何かが破綻する前に重要な依存関係を見極められるようになるとしています。
翻訳元: https://www.helpnetsecurity.com/2026/09/17/ai-and-open-source-projects/
