生成AIに『課金システムを作らせた』ら、同じ脆弱性を3回複製された話

Gemini経由でSaaS型アプリを自動生成するパイプラインがある。アイデアを1行渡すと、TailwindとバニラJSの単一HTMLアプリが1〜2分で生成され、Stripe決済リンク付きでデプロイされる。ところがこのパイプラインの「課金判定ロジック」に、根が同じ脆弱性が生成アプリ3本すべてに複製されていた。プロンプトの書き方一つで、脆弱性がテンプレート化して量産される様子が記録されている。元の設計では、生成するすべてのアプリに同じ文字列をハードコードするという古典的なミスがあった。

ここからが怖い。AIが速く作るほど、脆弱性も速く量産されるという逆説だ。手作業なら1回のコード失敗で済むが、プロンプトを一度間違えると、それが3本、10本、100本と複製される。AIが「効率化」と「リスク増幅」を同時にやっている。テンプレート化された脆弱性は見落としやすく、攻撃者からは逆に「狙い目」になる。ハードコードされたマスターキーなんて古典的なセキュリティ失敗だが、AIが大量に同じ間違いを繰り返すから、一度ネットのダークサイトで情報が共有されたら、一括で破られる可能性がある。これは「脆弱性の民主化」だ。

AI生成コードを本番に出す前に、セキュリティレビューをプロンプトに組み込む必要がある。生成速度が速いほど、脆弱性スキャンも速くしないと、効率化の恩恵が一瞬で台無しになる。むしろAIで生成されたコードは「同じ失敗が大量複製されるリスク」があることを前提に、レビュー体制を強化すべき時代になった。