セキュリティ層がCRITICALに昇格した日、ルールは1本も増えていなかった。SupabaseのPostgresスキルをコミットで追う

Supabaseが公開しているPostgresQLベストプラクティス集では、セキュリティ関連のルールが最近になって「CRITICAL」（最高優先度）に昇格した。ただし、その時点でセキュリティの具体的なルール数は3本のまま変わっていない。一方、全体のルール数は30本から31本に増えたが、増えた1本はセキュリティではなくスキーマ設計側だった。つまり、優先度ラベルの昇格と実質的な分量が乖離している。

ここで引っかかるのは、優先度ラベルが分量と一致していないという話だ。エージェント向けの知識ベースを眺めると、8段階の優先度表は「構造の地図」に見える。CRITICAL層を見ると「最重要なルールがたくさん詰まっているはず」と心理的に安心する。だが、ふたを開けると、CRITICALの層にも実は3本しかルールがなく、格下のスキーマ設計が倍の分量を持っていたりする。表は「印象」の詐術だ。ラベルは優先度を示すが、深さは示さない。エージェントの学習材料として本当に効くのか、層の数ではなく、個別のルールが「アンチパターンを先に示しているか」「失敗例をSQLで見せているか」という質の側面を見ないと判断できない。

AI導入時に「この業者のナレッジベースは8段階のカテゴリがある」という謳い文句は、実質的な網羅度を保証しない。重要な領域ほど、カテゴリだけ眺めず、具体的な事例やアンチパターンがいくつ詰まっているか数えて比較する癖をつけるべき。ベンダーの品質は箱の大きさではなく、中身の密度で見定める。