AI駆動開発・バイブコーディングのセキュリティ対策　工程ごとの確認項目と事故が起きたときの初動【2026年11月】

AIにコードを書かせて開発するとき、どこまで任せてよく、どこを人が確認すべきなのでしょうか。IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織編の3位に初めて選ばれました。

先に答えると、AI駆動開発の主な事故は、秘密情報の扱い・AIツールの権限・公開前の確認・事故時の初動の4か所で防げます。プログラミング経験の少ない人がAIのコードをそのまま使うバイブコーディングでは、とくに人の確認が抜けやすくなります。

この記事では、AIに渡してよい情報の線引き、Claude Code・Codex・OpenCodeの承認の設定の選び方、公開前の確認項目、鍵が漏れたときの初動が分かります。内容は2026年11月5日に各社・各機関の公式ページで確認しました。この記事は、AI事業の立ち上げを学ぶスクール「COACH AI」を運営する株式会社AITECHが書いています。

AIを使った開発を、AI受託・AIコンサル・AI顧問の事業にする方法を、専属コーチとマンツーマンで学べます
COACH AIのページを見る

AI駆動開発・バイブコーディングのセキュリティとは

AI駆動開発のセキュリティとは、AIに開発を任せる工程ごとに、情報の漏えい・誤った操作・欠陥のある公開を防ぐ対策です。

AI駆動開発とは、設計・コードの作成・テスト・修正などの開発の工程を、AIに任せて進める開発の方法です。Claude Code・Codex・OpenCodeのようなAIコーディングエージェント（指示を受けて、ファイルを読み、コードを書き、コマンドの実行まで進めるAI）が使われます。

従来の開発との違いは、コードが書かれる速さに、人の確認が追いつかなくなる点です。AIはファイルの書き換えやコマンドの実行まで自分で進めるため、確認の仕組みが無いと、誤りや攻撃がそのまま本番に届きます。

バイブコーディングとは

バイブコーディングとは、AIに自然な言葉で作りたいものを伝え、生成されたコードの中身を読まずに、動くかどうかだけを見て開発を進める方法です。プログラミング経験のない人でもアプリを公開できるようになりました。

バイブコーディングのリスクは、コードを読む人がいないことです。ログインの確認漏れや、APIキー（外部のサービスを使うための鍵）の書き込みがあっても、画面が動けば気づかれずに公開されます。バイブコーディングは、AI駆動開発から人のレビューを省いた形にあたるため、公開前の確認を別の手段で補う必要があります。

AI駆動開発で増えるリスク

AI駆動開発で増えるリスクは、開発の工程ごとに違います。開発前はAIに渡す情報、開発中はAIツールの権限と外部の文章による乗っ取り、公開の前後はコードの欠陥と秘密情報の流出が中心です。

公的機関・業界団体の指針

AI駆動開発のセキュリティには、国内外の公的機関・業界団体が指針を出しています。2026年11月5日時点で、開発に関係する主な指針は次の4つです。

IPAの10大脅威は、約250人の研究者・企業の実務担当者による選考会の審議と投票で決まります。OWASPの2025年版は、プロンプトインジェクション、機密情報の漏えい、サプライチェーン、過剰な権限などの10項目を挙げています。エージェント向けの版は、100人以上の専門家の協力で作られました（いずれも2026年11月5日確認）。

開発前に決める3つのルール

開発を始める前に、AIに渡さない情報、使うAIの契約、開発用と本番用の分け方の3つを決めます。

AIに渡さない情報

AIに渡さない情報とは、漏れたときに顧客や自社が損害を受ける情報です。顧客の個人情報、本番のAPIキーやパスワード、契約で秘密保持の対象になっている資料が当たります。

クラウドのAIを使う場合、AIの会話に貼った文章や、AIツールが読んだファイルは、AIの会社のサーバーに送られます。テストには、実在しない人物の名前や、意味のない値に置き換えたデータを使います。

AIの会社のデータの扱い

AIの会社が入力を学習に使うかどうかは、個人向けのプランか、法人向けのプラン・APIかで分かれます。同じClaude Codeでも、どのプランでログインしているかで扱いが変わります。

ChatGPTの個人向けプランでは、設定の「Data controls」で「Improve the model for everyone」をオフにすると、新しい会話とCodexの作業が学習に使われなくなります。ただし、回答に高評価・低評価を送ると、学習をオフにしていても、その会話全体が学習に使われることがあります。Codexには、作業環境の全体を学習に使うかの設定が別にあります。

出典はClaude Code「Data usage」、Anthropic プライバシーセンター、OpenAI「How your data is used to improve model performance」、OpenAI「Your data」です（2026年11月5日確認）。AIの利用料の仕組みはAIのトークンとはの記事にあります。

開発用と本番用の分離

開発用と本番用の分離とは、AIが触る環境と、顧客が使う環境で、データベース・APIキー・アカウントを別にすることです。AIが誤った操作をしても、被害を開発用の環境の中に止められます。

AIツールには開発用の鍵だけを渡し、本番の鍵は本番の環境の設定にだけ置きます。本番のデータベースに書き込める鍵を、AIが読めるフォルダに置かないことが前提です。

顧客の案件では、法人向けの契約かAPIでAIを使い、本番の鍵をAIの作業フォルダに置かない、の2点を最初に決めておくと、後からの手戻りを防げます。

APIキー・パスワードの管理

APIキーやパスワードは、コードとAIの会話に書かず、AIツールに読ませず、GitHubに上げない仕組みで守ります。

コードとAIの会話での秘密情報の扱い

APIキーをコードに直接書くと、コードを共有した相手やGitHubの閲覧者に鍵が渡ります。鍵は環境変数（コードの外にある、そのパソコンやサーバーだけの設定値）か、クラウドのシークレット管理（鍵を暗号化して保管するサービス）に置き、コードからは名前で呼び出します。

AIの会話に鍵を貼るのも同じです。エラーの相談で設定ファイルを丸ごと貼ると、鍵もAIの会社に送られます。貼る前に、鍵の部分を消します。

AIツールに秘密ファイルを読ませない設定

AIコーディングエージェントは、作業フォルダのファイルを自分で読みます。鍵を書いたファイル（多くは「.env」という名前）を読ませないよう、ツールごとに設定できます。

出典はClaude Code「Permissions」、Codex「Agent approvals & security」、OpenCode「Permissions」です（2026年11月5日確認）。

GitHubに秘密情報を上げない仕組み

GitHubのプッシュ保護（push protection）は、APIキーなどを含む変更をGitHubに上げようとした時点で止める機能です。漏れたあとに通知するのではなく、上がる前に止めます。

個人のアカウントのプッシュ保護は標準で有効で、公開のリポジトリへの鍵の書き込みを止めます。非公開のリポジトリも守るには、GitHub Secret Protectionを有効にしたうえで、リポジトリか組織の設定でプッシュ保護を有効にします（標準ではオフ）。止められた変更は、鍵を消してから上げ直します。出典はGitHub Docs「Push protection」です（2026年11月5日確認）。

あわせて、変更をGitHubに上げるときは、上げるファイルを1つずつ指定します。フォルダの全部をまとめて上げると、鍵のファイルや画面の画像など、意図しないファイルが混ざります。

AIコーディングツールに与える権限

AIコーディングツールの承認の設定は、標準の設定から始め、確認なしで動かす設定はインターネットから切り離した環境だけで使います。

承認モードの比較

承認モードとは、AIがファイルの変更やコマンドの実行を、人に確認せずに進めてよい範囲を決める設定です。Claude Code・Codex・OpenCodeの3つで、名前と標準の設定が違います。

確認が多い設定は、Claude CodeのManual（ファイルの編集・コマンドの実行・ネット接続の前に確認）、Codexの読み取り専用、OpenCodeで操作ごとに「確認」を選ぶ設定です。

Claude Codeは、ターミナルとVS Codeでは、バージョン2.1.283以降、使える環境ではauto modeで始まります。auto modeでは、別のAIモデルが操作を確認し、本番への反映、クラウドのデータの一括削除、権限の付与、秘密情報の外部への送信などを標準で止めます。ほかに、編集だけを確認なしにするモードと、計画だけを出させるモードがあります。読み取りや操作の禁止のルールは、Claude Codeではどのモードでも有効です。

Codexの標準のAutoは、作業フォルダの中の読み書きとコマンドの実行を確認なしで進め、作業フォルダの外の変更とネット接続が要るコマンドの前に確認を求めます。OpenCodeは、標準では多くの操作を確認なしで進めます。出典はClaude Code「Permission modes」、Codex「Agent approvals & security」、OpenCode「Permissions」です（2026年11月5日確認）。

各ツールの設定の画面と操作は、Claude Codeの使い方、Codexの使い方、OpenCodeとはの記事にあります。

承認なしで動かすときの条件

確認なしの設定は、AIの操作を誰も止めない状態です。Claude Codeの公式の説明書は、確認なしのbypassPermissionsを、インターネットにつながらないコンテナや仮想マシンなどの隔離した環境だけで使うよう求めています。

Codexの公式の説明書も、確認も隔離もない設定（Dangerous full access）を推奨しないとしています。隔離した環境とは、本番のデータ・鍵・社内のネットワークに届かない、作業専用のコンピューターのことです。

確認の回数を減らしたいときは、確認なしの設定ではなく、auto modeか特定の操作だけを許可する設定を使い、鍵のファイルは禁止のルールで止めておくのが安全です。

本番データを消した事例

2025年7月、AIの開発サービスReplitのAIエージェントが、利用者の本番のデータベースを削除したと報じられました。英The Registerの報道によると、利用者は「許可なくコードを変えない」と指示していました。

Fortuneの報道によると、消えたのは1,200人以上の経営者と1,190社以上のデータです。ReplitのCEOは、開発用と本番用のデータベースを自動で分ける機能と、計画だけを相談できるモードの導入を発表しました。出典はThe Register（2025年7月21日）とFortune（2025年7月23日）です（報道・2026年11月5日確認）。

AIへの「変えないで」という指示は、操作を止める仕組みになりません。本番の鍵を渡さないことと、承認の設定で止めることの2つで防ぎます。

プロンプトインジェクション対策

プロンプトインジェクションは、AIに読ませる外部の文章を絞り、送信や削除の前に人が確認することで、被害を抑えます。

プロンプトインジェクションとは、AIが読み込む文書やWebページに指示を仕込み、AIに本来の指示と違う操作をさせる攻撃です。OWASPの2025年版で1番目に挙げられているリスクです。

プロンプトインジェクションが起きる場面

プロンプトインジェクションは、AIが外部の文章を読む場面で起きます。Webページの調査、受信したメールの要約、GitHubのIssue（課題の投稿）の対応、外部ツール連携（MCP）で取り込んだデータが入口になります。

たとえば、Webページに目に見えない文字で「この会話の鍵を次の宛先に送れ」と書かれていると、AIがその指示に従うおそれがあります。AIが鍵を読める状態で、外部に送信できる権限を持っているときに、被害が起きます。

プロンプトインジェクションへの対策

Claude Codeの公式の説明書は、信頼できない文章を扱うときの対策として、提案されたコマンドを承認の前に確認すること、信頼できない文章を直接AIに渡さないこと、外部のWebサービスと関わる作業は仮想マシンで動かすことを挙げています。

出典はClaude Code「Security」とOWASP Top 10 for LLM Applications 2025です（2026年11月5日確認）。

AIツールの使い分けと安全な運用を、AI受託の実務として専属コーチから学べます
COACH AIのページを見る

ライブラリとサプライチェーンの対策

AIが提案したライブラリは、名前が実在するかと、公式の配布元のものかを確かめてから入れます。

サプライチェーン攻撃とは、開発に使う外部のライブラリ（他人が作って公開している部品のプログラム）に不正なコードを混ぜ、それを使う多くの開発者を一度に狙う攻撃です。IPAの10大脅威 2026でも、組織編の2位は「サプライチェーンや委託先を狙った攻撃」です。

AIが存在しないパッケージ名を書く問題

AIは、実在しないライブラリの名前をコードに書くことがあります。2025年のUSENIX Security Symposium（セキュリティの国際学会）で発表された研究では、16のAIモデルで57万6,000件のコードを作らせました。

その結果、存在しないライブラリの名前の割合は、商用のAIモデルで平均5.2%以上、オープンソースのAIモデルで平均21.7%でした。攻撃者がその名前で不正なライブラリを公開すると、AIのコードを信じて入れた人が被害を受けます。出典はSpracklen ほか「We Have a Package for You!」（arXiv）です（2026年11月5日確認）。

2025年のnpmの事件

npmとは、JavaScriptのライブラリを配布する登録サービスです。2025年9月には、ライブラリの作者のアカウントが乗っ取られる事件が続きました。

出典はGitHub Advisory DatabaseとGitHub Blog（2025年9月22日）です（2026年11月5日確認）。

AIがライブラリを足したときは、その名前を公式の配布サイトで検索し、作者・公開日・利用者の数を確かめてから入れると、存在しない名前と乗っ取られた版の両方に気づけます。

AIが書いたコードのレビュー

AIが書いたコードのうち、ログイン、権限、入力値の扱い、外部への公開の設定の4か所は、公開の前に人が確認します。

人が必ず確認する箇所

人が必ず確認する箇所は、誤りがあると、他人のデータが見える・書き換えられる状態になる部分です。プログラミング経験が少ない場合でも、次の4点は、アプリの画面やサービスの管理画面を操作して確かめられます。

AIが書いたコードで人が確認する4つの箇所

• ログイン：ログインしないと見られないはずの画面が、URLを直接開いて見られないか
• 権限：別の利用者のアカウントで、他人のデータを開けたり変えたりできないか
• 入力値：入力欄に記号や長い文字を入れたとき、エラーの画面に内部の情報が出ないか
• 公開の設定：データベースやファイルの置き場所が、誰でも読める設定になっていないか

4つの確認で問題が見つかったら、その画面と操作の手順をそのままAIに伝えて直させ、同じ操作でもう一度確かめます。

AIによるレビューの使い方

AIによるレビューは、人の確認の前に、見落としを減らすために使います。Claude Codeには、作業中の変更のセキュリティを確認する機能（/security-review）があります。OpenAIは、GitHubのリポジトリを調べるCodex Securityを提供しています。

コードを書いたAIとは別の会話や別のAIに、確認だけを頼む方法もあります。ただし、AIのレビューで問題が出なかったことは、安全の証明にはなりません。顧客に納品するものは、人が確認してから納めます。出典はClaude Code「Security」とCodex「Agent approvals & security」です（2026年11月5日確認）。

公開・運用の管理

本番への反映は人の承認のあとに行い、クラウドの権限は最小限にし、誰が何をしたかの記録を残します。

デプロイと公開の承認

デプロイとは、作ったプログラムを本番の環境に反映し、利用者が使える状態にすることです。AIには開発用の環境への反映までを任せ、本番へのデプロイは人が内容を確認して承認します。

Claude Codeのauto modeも、本番へのデプロイとデータベースの構造の変更を、標準で止める操作に含めています。本番への反映は、AIの判断に任せない操作として扱われています。

アクセス権限の最小化

アクセス権限を最小限にするとは、AIツールやサーバーに、その作業に要る操作だけを許すことです。クラウドの管理者の権限を持つ鍵をAIに渡すと、AIの誤りや乗っ取りが、すべてのサービスに広がります。

AIに渡す鍵は、読み取りだけ、特定のフォルダだけ、のように範囲を絞り、有効期限を付けます。管理者の権限は人だけが持ち、ふだんの作業では使いません。自分のサーバーでツールを動かすときの管理は、n8nのセルフホストの記事にもあります。

操作ログの保存

操作ログとは、誰が・いつ・何を変えたかの記録です。事故が起きたときに、原因と影響の範囲を調べる材料になります。変更はGitで管理し、AIが行った変更と人が承認した記録を残します。

AIで開発したアプリの公開前チェック

• 秘密情報：コードとGitHubに、APIキー・パスワードが残っていない
• 環境の分離：開発用と本番用で、データベースと鍵が分かれている
• 人の確認：ログイン・権限・入力値・公開の設定の4か所を、人が操作して確かめた
• ライブラリ：AIが足したライブラリが実在し、公式の配布元のものである
• 記録と戻し方：変更の記録が残り、前の版に戻す手順とデータのバックアップがある

事故が起きたときの初動

鍵の漏えいやデータの消失に気づいたら、まず被害の拡大を止め、漏れた鍵を無効にしてから、影響の範囲を調べます。

1. AIの作業を止める
2. 漏れた鍵を無効にする
3. 影響の範囲を調べる
4. 顧客と関係者に連絡する
5. 再発防止の設定を入れる

APIキーが漏れたとき

APIキーが漏れたときは、コードから鍵を消すより先に、発行元の管理画面でその鍵を無効にし、新しい鍵を発行します。GitHubに上げた鍵は、あとから消しても変更の履歴に残るため、漏れたものとして扱います。

鍵を無効にしたら、発行元の利用の履歴で、身に覚えのない利用や請求がないかを確かめます。AIのAPIの鍵なら、利用料の急な増加が手がかりになります。

データが消えた・書き換わったとき

データが消えたときは、AIの作業を止め、それ以上の書き込みをさせないようにします。そのうえで、バックアップや、クラウドのサービスの復元の機能で戻せる時点を確かめます。

Replitの事例では、AIは「元に戻せない」と答えましたが、実際には復元の機能で戻せたと報じられています。戻せるかどうかは、AIの説明ではなく、サービスの公式の機能と管理画面で確かめます。

顧客への報告

顧客から預かったデータが漏れたおそれがあるときは、分かっている事実、取った対策、今後の予定を、早く顧客に伝えます。個人情報の場合は、法律で報告が必要になることがあります。

個人情報保護委員会は、要配慮個人情報（病歴など）を含む漏えい、財産的な被害が出るおそれのある漏えい、不正アクセスなど不正な目的のおそれがある漏えい、1,000人を超える漏えいについて、報告を義務としています。発覚したらまず速やかに報告し、不正な目的のおそれがある場合の期限は発覚日から60日以内です。出典は個人情報保護委員会「漏えい等報告」です（2026年11月5日確認）。

初動の順番と連絡先を、事故が起きる前に1枚の手順書にしておくと、慌てて鍵の無効化より先にコードの修正を始める誤りを防げます。

AI受託で顧客に説明するセキュリティ

AI受託では、AIに渡すデータの範囲、責任の分け方、記録の保存、事故のときの連絡の4点を、提案書と契約に書きます。

AIでの開発を発注する顧客が確かめたい点は、自社のデータがどこに送られ、誰が責任を持つかです。提案の段階で次の4点を示すと、発注の判断がしやすくなります。

AI事業者ガイドラインは、本編と別添に加えて、チェックリストとワークシートを公開しており、顧客への説明資料の下書きに使えます。中小企業へのAIの提案の進め方は、中小企業向けのAIコンサルの記事にあります。

どのAIをどの契約で使い、人がどこを確認したかを示せると、顧客はAIで開発した成果物の品質を判断できます。AIエージェントを顧客向けに作る全体の流れは、AIエージェントの作り方の記事にあります。

COACH AIとは

COACH AIは、未経験・非エンジニアの方が、副業からAI受託・AIコンサル・AI顧問などのAI事業を立ち上げ、独立・事業化からM&Aまで目指せるよう、専属コーチがマンツーマンで伴走するスクールです。

プログラミング経験は不要で、ノーコードのツールから始められます。

自分の作業のためだけにAIで開発し、顧客から受託する予定がない方は、この記事の確認項目で足ります。詳しくはCOACH AIのページをご覧ください。

まとめ

AI駆動開発とバイブコーディングの事故は、秘密情報、AIツールの権限、公開前の確認、事故の初動の4か所で防げます。

• 顧客の個人情報や本番の鍵は、AIの会話とコードに入れず、法人向けの契約かAPIでAIを使います。
• APIキーは環境変数などに置き、AIツールに読ませない設定と、GitHubのプッシュ保護で守ります。
• AIツールの確認なしの設定は、インターネットから切り離した環境だけで使います。
• AIが書いたコードは、ログイン・権限・入力値・公開の設定の4か所を、人が確認してから公開します。
• 鍵が漏れたら、まず鍵を無効にします。初動の順番は、事故の前に決めておきます。

よくある質問

無料版のAIに社内のコードを入れてもよいですか？

おすすめしません。ChatGPTやClaudeの個人向けのプランは、設定によって入力が学習に使われます。社内や顧客のコードは、学習に使わない条件の法人向けのプランかAPIで扱います。個人向けのプランを使う場合は、学習の設定をオフにしたことを確かめます。

個人で開発するアプリでも、ここまでの対策が必要ですか？

他人の個人情報や決済を扱わない、自分だけが使うアプリなら、秘密情報の管理とAIツールの権限の2つで足ります。他人が使うアプリを公開するときは、公開前チェックの5項目をすべて確かめます。

Claude Codeのauto modeなら安全ですか？

auto modeは、別のAIモデルが操作を確認し、本番への反映や権限の付与などを標準で止めます。ただし、確認するのもAIのため、すべての誤りを止める保証はありません。顧客の機密を扱う作業では、Manualのモードで操作を1つずつ確認する方法も選べます。

AIが書いたコードの責任は誰にありますか？

AIの会社ではなく、そのコードを使って納品・公開した人や会社が責任を負うのが前提です。受託の場合は、納品前の確認の範囲と責任の分け方を、契約で顧客と決めておきます。

プログラミング経験がない人だけで、アプリを公開してよいですか？

他人の個人情報や決済を扱うアプリは、公開の前に、経験のある人のレビューか、専門の会社の診断を受けることをおすすめします。扱うデータが公開の情報だけなら、この記事の公開前チェックを人が操作して確かめたうえで公開できます。

この記事の各社のプラン・設定・指針は、2026年11月5日に各社・各機関の公式ページで確認しました。AIツールの設定と各社のデータの扱いは変わることがあります。使う前に公式の説明書で確認してください（更新日：2026年11月5日・監修：株式会社AITECH CEO 小森谷 祐太）。