コーディング支援ツールや生成AIの普及により、ソフトウェア開発はこれまでにないスピードで進化しています。一方で、生成されるコード量やシステムの複雑さは急速に増大しており、セキュリティレビューに割ける人員や時間は必ずしも増えていません。そのため、従来と同じ方法でレビューを続けることは難しくなっています。

自動車業界では特に、SDV（Software Defined Vehicle）の進展に伴い、インフォテインメントシステムやOTA、車両管理サービスなど、車両を取り巻くソフトウェアやクラウドサービスが急速に拡大しています。こうした領域では、従来の車載ソフトウェアで主流だったC/C++に加え、Java、JavaScript/TypeScript、Python、Goなどの技術も活用されるようになり、認証・認可やアクセス制御といったアプリケーションレベルのセキュリティ対策の重要性が高まっています。

しかし、認証・認可の不備やビジネスロジック上の問題は、単一のソースコードだけを見ても判断できない場合があります。複数のモジュールやAPI、サービス間の関係性を理解した上で、「本来許可されるべき操作か」を確認する必要があるためです。

本講演では、AI推論型SAST「DryRun Security」を題材に、AIがコードの文脈やシステム全体の振る舞いを理解しながら脆弱性を検出する新しいアプローチをご紹介します。AI時代のセキュリティレビューのあり方と、開発スピードとセキュリティ品質を両立するためのヒントをお伝えします。