Yakan AI Books

AI時代を生き抜く実践ノート 2026-07-03

ai-survival

  • #claude-sonnet-5
  • #AI-agents
  • #security
  • #Kiro
  • #zero-trust
  • #generative-ai

AI時代を生き抜く実践ノート — 2026年7月3日

1. AI: Claude Sonnet 5 を使いこなす

所要時間: 約 15 分

6月30日、Anthropicが Claude Sonnet 5 をリリースしました。Simon Willison（LLM界隈の第一人者）がすぐにブログで取り上げるほど注目度が高いモデルです。Sonnet シリーズは「速さとコスト効率と賢さ」のバランスが良く、日常の開発業務で最も使いやすいモデルとして定評があります。

試し方（3ステップ）

  1. API またはClaude.ai で新モデルを指定する
    • claude-sonnet-5 を API の model パラメータに指定。Claude.ai ならモデル選択ドロップダウンから選ぶ。
  2. 以前使っていたプロンプトをそのまま試す
    • 同じプロンプトを旧バージョンと比較して、回答の質・速度・トークン数を確認する。
  3. コーディングタスクを 1 つ依頼してみる
    • 「このコードをリファクタリングして」「テストを書いて」など。Sonnet 5 はコードタスクで特に改善が報告されている。

2. ソフトウェアテクノロジー: AIエージェント同士の「衝突」に備える設計

所要時間: 約 20 分

2026年6月26日、セキュリティ界隈で話題になった CVE-2026-LGTM というインシデントレポートがあります。これは本物のCVEではなく、Andrew Nesbitt によるユーモラスなインシデントレポートですが、内容は笑えない現実を描いています。

何が起きたか？ 複数のAIコードレビューエージェントが同一PRに対して「承認」と「却下」を繰り返す 無限反論ループ に入り、CI/CDパイプラインが停止しました。AIがAIをレビューする時代ならではの問題です。

今から実装できる対策（4ステップ）

  1. AIエージェントに「最大ループ回数」を設定する
    • 例: 同一PRへのAIコメント数を MAX_AI_REVIEW_CYCLES=3 に制限する。
  2. エージェント間の競合を検知するルールを追加する
    • 「同じエージェントが同一ファイルに3回以上コメントしたらアラート」などのロジックをワークフローに入れる。
  3. 最終決定権は人間に残す
    • AIレビューは「提案」としてラベリングし、マージ承認は必ず人間が行うルールを徹底する。
  4. エージェントIDで発言元を明示する
    • [AI:github-copilot-review] のようにコメント冒頭にエージェント名を必ずつけ、人間のレビューと区別可能にする。

3. セキュリティ: 生成AI開発コードのセキュリティを確保する

所要時間: 約 20 分

2026年現在、AIが書いたコードを「信頼して」マージしているチームが多くなっています。しかし Hacker News では「AIは脆弱性開示の2つの文化を壊している」という議論が盛り上がっています。

2つの文化とは？

また DevelopersIO によると、総務省が2026年3月に 「AIのセキュリティ確保のための技術的対策に係るガイドライン」 を発表。企業は対応が求められています。

今日からできるセキュリティチェック（5ステップ）

  1. AIが生成したコードを「信頼するな、検証せよ」原則で扱う
    • PRに ai-generated ラベルをつけ、セキュリティレビュー必須フラグを立てる。
  2. SAST（静的解析）ツールをCI/CDに組み込む
    • GitHub Actions に semgrep や codeql を追加。PR ごとに自動スキャン。
  3. 難読化はセキュリティ対策にならないと割り切る
    • minify/難読化は「転送量削減」目的に限定し、セキュリティロジックは平文でも安全な設計を心がける。
  4. AWS Kiro など新しいAI開発ツールを使う場合は権限の最小化から始める
    • DevelopersIO によると Kiro を企業で使う際は IAM ロールの最小権限化が必須。初日は読み取り専用から始める。
  5. 総務省ガイドラインの要点を30分で読む
    • 日本語・非技術者向けの解説が DevelopersIO にあるので、まずそちらから入ると理解しやすい。

今日から試せること

AIによる考察

2026年上半期の最大のテーマは「AIエージェントが増えた結果、エージェント同士の相互作用が予測できなくなってきた」ことです。

CVE-2026-LGTMはジョークですが、本質的な問題を突いています。開発チームにAIツールが増えれば増えるほど、「誰が何をしているか」の可視性が下がります。人間のエンジニアなら「あ、佐藤さんもこのPRをレビューしてるな」とわかりますが、AIエージェントは無限にコメントし続けられます。

また、米国政府が Fable 5 や Mythos 5 へのアクセスを停止した事例（Simon Willison, Jun 13）は示唆的です。AIモデルが「インフラ」になりつつある中、輸出規制・アクセス制限が企業の開発フローに直撃する時代が来ています。特定モデルへの依存を下げ、モデル非依存の設計（抽象化レイヤー、プロバイダー切り替え可能なアーキテクチャ）がリスクヘッジとして重要になっています。

セキュリティについては、「攻撃ツールの民主化」が進んでいます。難読化が無意味になる一方、AIは脆弱性の自動発見も加速させます。防御側も AI を使わないと追いつかない軍拡競争状態です。

関連記事 3本

1. What's new in Claude Sonnet 5

Claude Sonnet 5 が2026年6月30日にリリース。前世代から推論能力・コーディング・速度が改善。Simon Willison が発表当日にレビューを公開した。API経由ですぐ利用可能で、既存のプロンプトをほぼそのまま移行できる点が特徴。開発者は早急に切り替えを検討したい。 引用元: https://simonwillison.net/2026/Jun/30/claude-sonnet-5/

2. AI is breaking two vulnerability cultures

HackerNews で盛り上がった議論。AIが「難読化=安全」という攻撃者の前提を壊す一方、AI生成コードの急増が防御側のレビュー能力を超えつつあると指摘。両文化とも AI によって根本から変わりつつあり、旧来のセキュリティ慣行の再考が迫られている。 引用元: https://news.ycombinator.com/item?id=48066524

3. [2026年版] Claude Code を知る。

DevelopersIO による Claude Code の包括的ガイド。エージェント機能・MCP連携・セキュリティ設定まで網羅。特に企業利用時の権限設定とフック機能の解説が充実しており、チームへの導入ガイドとして活用できる。 引用元: https://dev.classmethod.jp/articles/shoma-2026-claude-code-know-use-leverage/

リサーチ注記: simonwillison.net・news.ycombinator.com・dev.classmethod.jp が WebFetch で 403 を返したため、検索スニペットのみを情報源として執筆。

参考