APIキー無しでも動くRAG：まず語彙検索、必要なら埋め込み

Terraformコードの脆弱性を自動検出するツール「iac-guard」が公開されている。興味深いのは、検出したルール違反に対して「なぜダメか」という根拠を添えるRAG（検索付き生成）の部分だ。実装のポイントは「APIキーや埋め込みモデルなしで動く」という制約を自ら課したことである。

検索方式は2つ用意されている。既定はローカルの語彙検索で、クエリと文書のトークン重なりでスコアを付ける。工夫は小さいが効果的だ。タグ一致を2倍に重み付けすることで、本文にたまたま出てくる単語より「このルールIDが一致」の方を強いシグナルとして扱う。決定論的で毎回同じ結果が出るため、テストも書きやすく、ネットワークもAPIキーも不要だ。もう一方はOpenAIの埋め込みAPIを使ったベクトル検索で、表記揺れや言い換えに強いが、このオプションはAPIキーがあるときだけ有効になる。

ここで注目すべきは「段構え」の思想だ。世のRAG実装の多くは埋め込みを既定にしてしまう。手軽で精度も高いからだ。だがそうすると「このツールはOpenAIキーが必須」という導入障壁ができる。iac-guard は逆にした。既定は無料でオフライン、必要な人だけ課金で精度を上げる。中小企業がAIツール導入を躊躇する理由は「複雑さ」と「外部依存」だ。そういう企業ほど、こういう段構えの親切さに反応する。デモは既定でも動き、本番では埋め込みの精度を追加できるという選択肢の広さが、採用の可能性を大きく変える。