AIコーディングエージェント導入時のセキュリティチェックリスト 2026
この記事の結論
- AIコーディングエージェントの導入前に確認する項目は10個です。まず決めるべきは、秘密情報の置き場所・エージェントが触れる範囲・自動実行してよいコマンドの3つです。
- 外部から取り込んだ文章（Webページ、チケット、READMEなど）は指示として実行しない前提で設計します。これがプロンプトインジェクション対策の土台になります。
- 生成コードは人のレビューを必ず通し、提案された依存ライブラリは実在と更新状況を確認します。組織で使う場合は停止手順と連絡先も先に決めておきます。
AIコーディングエージェントは、手元のファイルを読み書きし、コマンドを実行します。この記事では、導入前に確認したい10項目を一覧表にまとめ、秘密情報の管理から停止手順の準備までを実務の順序で整理します。
最終更新: 2026-09-10・読了目安 約7分
このチェックリストの使い方
AIコーディングエージェントは、開発者の手元でファイルを読み書きし、コマンドを実行します。つまり、通常のWebアプリの脆弱性対策に加えて、「どこまで自動で操作させるか」という権限の設計が必要になります。
以下の10項目は、導入前に一度確認し、運用開始後は変更のたびに見直すことを想定しています。すべてを一度に満たす必要はありませんが、1〜3と10は最初に決めておくことをおすすめします。
導入前チェックリスト10項目
項目ごとに「確認できていないと何が起きるか」を並べています。社内で説明するときは、この列をそのまま根拠として使えます。
| # | 確認項目 | 確認できていないと起きること | 担当 |
|---|---|---|---|
| 1 | APIキー・認証情報を環境変数やシークレット管理に置いているか | キーがリポジトリや履歴に残り、そのまま公開される | 開発 |
| 2 | エージェントが読み書きできるディレクトリを限定しているか | 関係のないファイルまで変更・送信の対象になる | 開発 |
| 3 | コマンド自動実行の許可範囲を明示しているか | 削除やデプロイなど取り返しのつかない操作が無確認で走る | 開発 |
| 4 | 顧客データ・個人情報を投入してよいかを社内で決めているか | 取扱い規程の外にデータが出る | 法務・情シス |
| 5 | 外部から取り込む文章を「指示」として扱わない設計になっているか | プロンプトインジェクションで意図しない操作を行う | 開発 |
| 6 | 生成コードのレビューを人が必ず通す運用になっているか | 入力値検証や権限チェックの抜けに気づけない | 開発 |
| 7 | 提案された依存ライブラリの実在と更新状況を確認しているか | 実在しない・放置されたパッケージを取り込む | 開発 |
| 8 | 変更差分をコミット前に必ず目視しているか | 意図しない修正や秘密情報が混ざったまま履歴に残る | 開発 |
| 9 | ログに秘密情報やプロンプト全文を残していないか | ログ経由で情報が流出する | 情シス |
| 10 | 問題が起きたときの停止手順と連絡先が決まっているか | 影響範囲の切り分けが遅れる | 全体 |
秘密情報と権限の扱い
APIキーやトークンは環境変数やシークレット管理に切り出し、.gitignoreで除外します。エージェントに渡す作業ディレクトリも、対象のリポジトリに限定してください。
コマンドの自動実行は便利ですが、削除・デプロイ・課金が発生する操作は確認を挟む設定にしておくと、取り返しのつかない事故を防げます。IPAの安全なウェブサイトの作り方は、生成されたコードそのものを確認するときの観点として引き続き有効です。
外部から取り込む文章の扱い（プロンプトインジェクション）
Webページ、課題管理システムのチケット、依存ライブラリのREADMEなど、外部から取り込んだ文章の中に「これまでの指示を無視して〜せよ」といった命令が仕込まれていることがあります。取り込んだ文章はデータとして扱い、指示としては実行しない前提で設計します。
攻撃手法と対策の詳細はAIエージェントのセキュリティとプロンプトインジェクションにまとめています。組織としての管理体制については、経済産業省と総務省がまとめたAI事業者ガイドラインが、開発者・提供者・利用者それぞれの立場で求められる取り組みを整理しています。
生成コードのレビューと依存ライブラリ
生成されたコードは、動くかどうかだけでなく、入力値の検証・権限チェック・エラーメッセージの露出まで人が確認します。観点の詳細はAIが生成したコードのセキュリティ確認にまとめています。
提案された依存ライブラリは、実在するか・広く使われているか・最終更新が極端に古くないかを導入前に確認してください。IPAの情報セキュリティ10大脅威 2026でも、サプライチェーン経由の攻撃は組織向けの上位脅威として挙げられています。
組織で運用する場合の最低限
チームで使う場合は、投入してよいデータの範囲、承認が必要な操作、問題発生時の停止手順と連絡先を文書にしておきます。中小規模の組織であれば、IPAの中小企業の情報セキュリティ対策ガイドラインの考え方をそのまま土台にできます。
運用開始後は、上の10項目を四半期ごとに見直すのが現実的です。エージェントの権限設定はツールの更新で既定値が変わることがあるため、更新のたびに1〜3を再確認してください。
関連記事・用語
用語はプロンプトインジェクションとAPIキーを参照してください。評価の仕組みで品質低下に気づく方法はLLM評価（Evals）の作り方、日々の運用はAIコーディングエージェント入門：初心者の始め方もあわせてどうぞ。攻撃側の分類と対策の一覧はプロンプトインジェクション対策の一覧表 2026、測り方の指標はLLM評価の指標一覧表にまとめています。
よくある質問
Q1. 個人開発でもこのチェックリストは必要ですか？
全項目は不要ですが、秘密情報の扱い（項目1）、エージェントが触れる範囲の限定（項目2）、コマンド自動実行の範囲（項目3）は個人開発でも決めておくことをおすすめします。公開する段階になったら、生成コードのレビューと依存ライブラリの確認も加えてください。
Q2. 社内のデータをAIコーディングエージェントに読ませてよいですか？
組織の取扱い規程で決めるべき事項です。顧客データや個人情報を含む場合は、投入の可否と範囲を情報管理の担当部門と決めてから使ってください。判断の枠組みは、経済産業省と総務省のAI事業者ガイドラインが利用者の立場で整理しています。
Q3. プロンプトインジェクションはツール側の対策だけで防げますか？
ツール側の対策だけでは防ぎきれません。外部から取り込んだ文章を指示として実行しない設計にすることと、削除やデプロイなど影響の大きい操作に人の確認を挟むことを組み合わせてください。