CI/CDではもう遅い - 人とAIが迂回しないDevSecOps Verify基盤の再設計 -

セッション概要

生成AIが大量のコードと依存ライブラリを短時間で生み出すようになった今では、CI/CDパイプラインを中心とした従来のDevSecOpsでは検証のスピード、対応が間に合っていません。 AIが提案したライブラリのライセンスは適切か。既知の脆弱性は解消されているか。AI駆動開発では量と速度の前に見落とされやすいと考えています。 検査が遅い、あるいは目的が伝わらない状態だと、開発者は原因を調査せずに遅い部分の仕組みを外すことがあります。AIエージェントも、リリース資材を作成するタイミングで解析して指摘する今までの形式だと、大量の修正指摘を手戻りとして対応を実施することになります。 そこで、SAST、依存関係・脆弱性・ライセンス検査など、ルールとして判定しやすいツールを、ローカル環境のAIエージェントが使えるVerify機能として整備することにしました。 コードを保存・共有する前に問題を検出して、機械的な指摘を解消してからAIレビューへ渡すことでさらなるシフトレフトを行い、AIコードレビューのコスト、ノイズ、手戻りを減らすことを目的としています。 また、SBOMとライセンス情報も保存・可視化しており、定期的な監査運用を実施できる状態を作りました。 その結果、人とAIが同じ基準でルールの適応状況を確認し、リリースタイミングでの手戻り・AIレビューのコストの削減ができるようになりました。 本セッションでは、AI駆動開発を前提にDevSecOpsを再設計した実践と、次に向き合うべき課題を紹介します。

対象者

キーワード

カテゴリ