AIでコードをセキュリティ監査する方法｜Claude実践事例
「自社のシステムやコードに、どんなセキュリティの穴が残っているか分からない」——社内にエンジニアが一人しかいない、あるいは開発を外注してきた中小企業ほど、この不安は根深いものです。
結論から言うと、コードのセキュリティ監査は「専門チームを何ヶ月も動かす仕事」から「AIエージェントを並列で走らせて数時間で洗い出す仕事」に変わりつつあります。カナダのアルバータ州政府が、4.66億行のコードをClaudeで20時間かけて監査した事例が、その象徴です。
株式会社Fyveは、中小企業がAIを業務に取り入れる伴走をしています。この記事では、州政府の大規模事例を「1人・中小企業の規模」に翻訳し、自社システムをAIで点検する手順と、絶対に外してはいけない安全設計を、私自身の実運用を交えて解説します。
アルバータ州政府がClaudeで成し遂げたこと
まず事実を押さえます。2026年7月、Anthropicが公開した事例によると、カナダ・アルバータ州の技術革新省のチームは、州が保有するコードベース4.66億行を約20時間で監査し、セキュリティ上の弱点を洗い出して修正まで進めました。
従来のやり方なら同等のレビューにおよそ6.5年かかると見積もられていた作業です。それを20時間に圧縮したのが、この事例のインパクトです。
約50体のエージェントが並列で動いた
技術的な中身も重要です。チームはClaude Code（ClaudeのOpusとSonnetモデル）を使い、約50体のエージェントを自律的かつ並列で動かして、システムの脆弱性・インフラや配備プロセスの弱点・技術ドキュメントの欠落をスキャンしました。
処理は2段階のルーティンでした。
- 1段階目：ルールエンジンで各リポジトリを走査し、既知の危険なパターンをフラグする（機械的な一次スクリーニング）
- 2段階目：フラグされた箇所をAIがレビューし、該当するファイル名と行番号を明示して開発者が検証できる形で提示する
この「機械で網を張り、AIで精査して根拠を示す」二段構えによって、従来の自動スキャンツールが見逃していた問題まで拾えたと報告されています。
修正は必ず人が承認してからデプロイした
もう一つ見落とせないのが、安全の作り方です。脆弱性が見つかると、Claude Codeは多くの場合その場で修正を生成し、テストを書き、ビルドまで行えました。テストが無いシステムでは、パッチが安全だと確認するためのテストをAIが先に書いています。
ただし、すべてのパッチは出荷前に必ずエンジニアがレビューし承認しています。AIが提案し、人が判断してから世に出す——この順序が徹底されていました。
なぜこの事例が「1人・中小企業」にも効くのか
「4.66億行なんて、うちの規模とは関係ない」と感じるかもしれません。しかし本質はスケールではありません。この事例が示したのは、「大量のコードや設定を、AIエージェント群に並列で読ませて棚卸しする」という仕事の型です。
この型は、行数が数千行の小さな社内ツールにも、長年増築してきたExcelマクロや野良スクリプトにも、そのまま縮小して当てはまります。むしろ、専任の担当者を置けない中小企業ほど「一気に読んで洗い出す」価値は大きいと私は考えています。
中小企業がAIへ業務を移していく全体像は、こちらの記事でも整理しています。
私がやっている「AIエージェント並列監査」の型
実は私自身、規模はまったく違いますが、同じ発想を毎週の運用に組み込んでいます。私は全事業のファイルを一つのリポジトリ（モノレポ）で管理していて、週に1度、複数の監査エージェントを領域ごとに分けて並列で走らせています。
担当を「クライアント案件」「自社プロダクト」「発信コンテンツ」「保留中の資産」のように分割し、各エージェントが自分の担当領域だけを横断チェックします。私の場合の主な監査対象はセキュリティそのものというより、各プロジェクトの状態や管理情報の整合性ですが、「担当を分けて並列で走らせ、異常だけを根拠付きで報告させる」構造はアルバータの事例と同じです。
チェックの作り方も二段構えにしています。まず機械的なルール（フォーマット違反や欠落の検出）で候補を絞り、その上でAIに中身をレビューさせ、「どのファイルの・どこが・なぜ問題か」を必ず明示させる。根拠が示されない指摘は、こちらが検証できないので採用しません。この考え方は、そのままコードのセキュリティ点検にも移せます。
大規模事例と「1人会社」の対応関係
要素 | アルバータ州政府 | 1人・中小企業への翻訳 |
|---|---|---|
対象 | 州保有の全リポジトリ（4.66億行） | 社内ツール・Webサイト・マクロ・古いスクリプト |
実行 | 約50体のエージェントが並列 | 領域を数個に分けて数体を並列 |
手順 | ルールエンジン→AIレビュー（行を明示） | 機械チェック→AIレビュー（該当箇所を明示） |
安全 | 修正はエンジニアが承認後に出荷 | 修正は自分（または担当者）が確認後に反映 |
複数のエージェントを安全に「放置運用」する勘所は、こちらでも解説しています。
AIによるコード監査で実際に見つかる代表的なリスク
「点検すると言っても、何が出てくるのか」がイメージできないと、なかなか一歩を踏み出せません。私がこれまでコードや設定をAIに読ませてきた経験でも、中小企業の手元にあるコードからは、次のようなリスクが繰り返し見つかります。
- ハードコードされた認証情報：APIキーやパスワードがソースコードに直書きされている。外注時の名残で残っていることが非常に多く、漏洩すると被害が直結します
- 入力値の未検証：フォームやURLから受け取った値をそのまま処理している。SQLインジェクションやクロスサイトスクリプティング（XSS）といった典型的な攻撃の入り口になります
- 古い依存パッケージ：何年も更新されていないライブラリを使い続けている。既知の脆弱性が公開済みのまま放置されているケースです
- 緩すぎる権限設定：誰でも管理者としてアクセスできる、削除操作に確認がない、といった設定の甘さ
- エラー時の情報漏れ：不具合発生時に、内部の構造やデータベースの情報が画面にそのまま表示される作りになっている
これらは、専門家が時間をかけて読めば見つかるものですが、その「時間」を捻出できないのが中小企業の実情です。AIエージェントに並列で読ませれば、まず一覧として洗い出し、深刻度の高いものから順に手を打てます。大切なのは、完璧を目指すことではなく、放置されていたリスクを「見える化」することです。
中小企業が自社システムをAIで点検する3ステップ
いきなり全社のコードを対象にする必要はありません。私が伴走するときも、次の3ステップで小さく始めることを勧めています。
ステップ1：点検する対象を1つに絞る
最初は「一番不安なもの」を1つだけ選びます。問い合わせフォームのあるWebサイト、顧客データを扱うマクロ、外注で作ったまま中身を把握していないツール——どれか1つで十分です。範囲を絞るほど、AIの指摘の精度は上がります。
ステップ2：まるごと読ませて棚卸しさせる
選んだ対象をAIに読み込ませ、「セキュリティ上のリスクを、該当ファイルと箇所を挙げて一覧化して」と指示します。ポイントは、いきなり修正させないことです。まずは現状把握（棚卸し）に徹し、リスクの一覧と、それぞれの深刻度・根拠を出させます。
ここで「どこが・なぜ危ないか」が根拠付きで並ぶだけでも、外注先への相談や、優先順位づけの材料になります。
ステップ3：修正はAIに任せきりにせず、人が承認する
一覧を見て、対応する項目を決めたら、そこで初めて修正を依頼します。ただしアルバータの事例と同じく、反映（本番へのデプロイ）は必ず人の承認を挟みます。AIは「提案するところまで」、公開・反映の引き金は人が引く。この線引きが、AI活用で事故を起こさない最大のコツです。
絶対に外してはいけない安全設計
AIにコードを点検させるとき、私が実運用で必ず守っている安全設計が2つあります。中小企業がこの仕組みを取り入れるなら、ここだけは妥協しないでください。
1. AIに渡す「鍵」を用途で絞る
私は自動化ジョブにAPIキーやアクセス権を渡すとき、用途に必要な最小限の権限だけを渡します。たとえば毎晩自動で下書きを作るジョブには「読み取り」と「新規追加」だけを許可し、既存データの上書き・削除の権限は構造的に渡していません。
こうしておけば、仮にAIが暴走しても「既存の資産を壊す」ことが物理的にできません。権限を絞ることは、指示を工夫するより確実な安全策です。権限管理の考え方は、こちらで詳しく整理しています。
2. 「提案」と「反映」の間に必ず人を挟む
アルバータ州政府が徹底したように、AIの修正は必ず人がレビューしてから反映します。私も、AIが生成した変更をそのまま本番に流すことはしません。AIが動くのは提案まで、公開・反映は人が判断する——この一線を守るだけで、AI活用のリスクの大半は避けられます。
逆に言えば、この2つさえ守れば、AIによるコード監査は中小企業にとって「怖い自動化」ではなく「頼れる点検係」になります。
まとめ：規模ではなく「型」を持ち帰る
アルバータ州政府の4.66億行・20時間という数字は、確かに桁違いです。しかし、そこから中小企業が持ち帰るべきは数字ではなく、次の型です。
- 大量のコード・設定は、AIエージェントに並列で読ませて棚卸しできる
- 「機械で網を張り、AIで根拠付きに精査する」二段構えが精度を上げる
- AIに渡す権限は用途で絞り、反映は必ず人が承認する
この型は、行数の大小を問わず、そのまま縮小して使えます。「自社のあのコード、一度きちんと点検したい」と思ったときが始めどきです。株式会社Fyveは、どこから手をつけるかの見極めから、安全な運用設計まで、中小企業の実情に合わせて伴走します。
AIを使う会社と、使わない会社。
その差は、開き始めています。
ここ数年でAIは急速に進化し、正しく導入できている企業とそうでない企業とでは、業務効率や人件費に大きな差が生まれ始めています。「AI導入に興味はあるが、実際に何ができて、どこから手をつければいいか分からない」——そんな方は、まずこの無料プレゼントに目を通してみてください。
