AI SPERA代表、バイブコーディングによる公共サービス開発におけるセキュリティ点検を強調

AI SPERAの代表である強秉卓氏は、行政安全部が開催した第43回地域情報化優秀事例発表大会にて、生成AIとバイブコーディングを活用した公共サービス開発におけるセキュリティ上の脅威と対応策について発表しました。

強氏は、バイブコーディングが開発速度と生産性を向上させる一方で、迅速な開発過程において基本的なセキュリティ検討が不十分になる可能性があると警告しました。特に、AIベースのサービスが外部システムやSaaSと連携することで、アカウント情報やAPIキーなどの認証情報の管理項目が増加するため、開発段階からソースコードや設定ファイルを通じた重要情報の外部流出がないか点検する必要があると説明しました。

公共サービスでは個人情報や行政データを扱うため、ユーザーごとのアクセス権限やAPIによるデータ露出の有無が重要な点検対象となります。画面上で情報を隠していても、サーバー側で権限確認を行わなければ、他者の情報へのアクセスや管理者機能の呼び出しといった脆弱性につながる恐れがあります。また、APIの応答に不要な個人情報や内部データが含まれ、外部に露出する可能性も指摘されました。

これに対し、強氏はユーザー別の権限検証、他者の情報へのアクセス可否、管理者機能の非認可呼び出し、API応答内の過剰な個人情報の有無などを、実際のサービス環境で点検することを提案しました。また、機能追加や設定変更、外部サービス連携によって新たな脆弱性が生じるため、開発、運営、侵害対応の各段階で継続的に管理し、攻撃者の視点からリスクを確認する攻撃表面管理を併行して行う必要があると強調しました。