【最新モデル】Claude Code / Codex / Cursor のコードレビューをOWASP Benchmarkで検証

Claude Code、Codex、Cursorのコードレビュー機能を、OWASP Benchmarkの脆弱性データセット110件で検証した。結論は「精度は横並び」である。満点が6方式、その他も0.98近い。脆弱性の検知力で選ぶ時代は終わった。AIの鬼として着目するのは、「では何で選ぶのか」という次の問いだ。記事が詳しく書いているとおり、選ぶ軸は「どこで動くか」「処理時間」「費用」「見逃しと誤検知の性質」に移った。例えば、Codexのモデル間で見逃しゼロだが誤検知3件と、誤検知ゼロだが見逃し3件と、同じスコアでも性格が逆である。防御の堅さを優先するか検出力を優先するかで、選ぶモデルが変わる。これは「AIツール選び」が「ツール比較表を見る作業」から「チームの開発フローと品質方針を決める作業」に昇華したことを意味している。つまり、AI選びが実は組織設計の問題だということだ。リポジトリ全体をスキャンする方式は処理に数十分から数時間を要し、毎回のPRではなく定期実行に向く。一方、ローカルで秒単位に返る方式もある。使い方が決まれば、自ずとツールも決まるのだ。中小企業への実務含意は明確だ。コードレビューツール選びで性能測定に時間をかけるな、ということである。精度はどれも高い。むしろ「今のワークフローにはどれが乗せやすいか」「チーム全体で使い回せるか」「料金が持続可能か」といった運用軸で選べばいい。週単位でスキャンするのか毎回のPRで動かすのか、その使い方が決まれば、自ずとツールも決まる。