AIはオープンソースコードのセキュリティを殺さない

意見：Cal.comは商用コードベースをクローズし、長年採用してきたAGPL-3.0ライセンスの提供を中止しました。この動きは、同社の開発に貢献してきた開発者コミュニティに不安を与え、より広範なオープンソース界隈にも波紋を広げています。 「オープンソースは死んだ」と語るのは、Cal.comの共同創業者兼CEOであるベイリー・パンフリート氏です。しかし、私が行ったトップクラスのオープンソース開発者（例えばLinuxカーネルメンテナーのグレッグ・クロア＝ハートマン氏など）との対話から、それは決してそうではないことが示唆されています。そして、私自身もそう思っています。 パンフリート氏は、同社がメインプログラムをGNUアファロ一般公衆ライセンス（AGPL）からプロプライエタリ（ proprietary ）ライセンスへ移行する理由として、AIがプログラムのセキュリティに対して過度な脅威となっていると見なしているため、この宣言を行いました。あるいは、彼が私に語ったところでは、「AI攻撃者はその透明性を悪用している」とのことです。そのため「オープンソースコードは、銀行の金庫の設計図を配るようなもの」となります。そして今、「その設計図を研究するハッカーが100倍も増えている」のです。 もしこれが聞き覚えのある主張に聞こえるなら、それは当然です。これは、コードを誰でも閲覧できるようにすれば自動的に脆弱性が高まるという古くからの議論です。それは90年代には正しくありませんでしたし、現在も正しくありません。考えてみてください。今日のほぼすべての商用コードはオープンソースです。長年の経験から、オープンソースはプロプライエタリコードよりもはるかに安全であることが証明されています。 確かに、AI はかつてないほど容易かつ迅速にセキュリティ上の脆弱性を発見できるようになりました。特に最近では、[Anthropic の Mythos Preview が小規模なオープンソースプロジェクトのメンテナーをバグレポートの洪水で埋め尽くす](https://www.theregister.com/2026/04/10/project_glasswing/)のではないかという懸念が広まっています。 また、[Black Duck の 2026 年版オープンソースセキュリティおよびリスク分析（OSSRA）レポート](https://www.blackduck.com/resources/analyst-reports/open-source-security-risk-analysis.html)などのセキュリティレポートは、コードベースあたりのオープンソースの脆弱性が 107％増加したと主張しています。確かに、Pumfleet の論旨を裏付けるものとして、Black Duck の CEO である Jason Schmitt は、「現在ソフトウェアが作成されるペースは、ほとんどの組織がそれを保護できるペースを上回っている」と述べています。 一方、AI を用いれば、発見されたばかりのセキュリティ上の脆弱性をパッチとして修正することも期待できます。Cal は明らかにそのリスクを取りたがりません。あるいは、彼が示唆したように、Pumfleet は企業がそれを負担できないと考えているのかもしれません。 というのも、Drew Breunig という著名なテクノロジストラテジストが最近のブログ記事で指摘したように、コードセキュリティは現在、「システムを堅牢にするには、攻撃者がそれを利用するために費やすトークン数よりも多くのトークンをエクスプロイトの発見に費やさなければならない」という「残酷なまでにシンプルな方程式」に至っているからです。[サイバーセキュリティは証明作業（Proof of Work）となったのか](https://www.dbreunig.com/2026/04/14/cybersecurity-is-proof-of-work-now.html)。 ある意味で、これはリヌスの法則の再確認である。今日、「十分な数の目があれば、すべてのバグは浅い」と言う代わりに、「十分なトークンがあれば、すべてのバグは浅い」と言い換えるべきかもしれない。もちろん、これは攻撃者よりも先に立つために十分なトークンを購入できるという前提に立っている。 一方、Djangoの共同創設者であるSimon Willisonは、「セキュリティ上の脆弱性は現在、トークンを消費することで発見可能になったため、オープンソースライブラリはその監査予算を共有できるのに対し、クローズドソースソフトウェアは独自の脆弱性をプライベートで発見しなければならないため、オープンソースの方がより価値がある」と主張している。 言うまでもなく、一部の競合他社はCalの突然の方針転換を歓迎している。Mozilla Thunderbirdのプロダクトおよびビジネス開発マネージャーであるRyan SipesはYCombinator上で、「私たちのスケジュール管理ツール、Thunderbird Appointmentは常にオープンソースである。私たちと話して一緒に構築してほしい。Cal.comの置き換えをお手伝いします」と述べている。 しかし全体的に見て、開発者コミュニティはCalの主張を信じていない。 Reddit上のあるユーザーは、Calがセキュリティに対してどれほど真剣だったのか疑問を呈した。最近のいくつかのセキュリティホールに対するパッチを引用し、彼は「これらの問題は高度なハッキングの結果ではなく、認証およびアクセス制御における基本的な見落としに起因していた」とコメントしている。 Slashdot の皮肉なコメントに「ツールがそれほど優れているなら、それを使ってセキュリティ上の欠陥を暴かれることを恐れるのではなく、そのツールで自分自身のセキュリティ上の欠陥を見つけ、修正すべきではないでしょうか。これは、製品が黒字化に達した今、オープンソースコミュニティからの撤退を望むための言い訳に過ぎません」というものがありました。[https://yro.slashdot.org/story/26/04/15/1913213/calcom-is-going-closed-source-because-of-ai](https://yro.slashdot.org/story/26/04/15/1913213/calcom-is-going-closed-source-because-of-ai)。 - Project Glasswing とオープンソースソフトウェア：善、悪、そして醜 - Linux カーネルの最高責任者によると、AI によるバグ報告は一夜にしてゴミから正当なものへ変わった - AI による低品質な出力が改善されたため、メンテナーの作業量が増加 - 医療用大麻企業の CTO は、取引を探して電話をかけるとベンダーが切ってしまうと語った 「セキュリティ・バイ・オブスキュリティ（秘匿による安全性）」について、OpenClaw の作成者である Peter Steinberger は、「GPT 5.4-Cyber とその [クローズドソースのリバースエンジニアリング](https://x.com/steipete/status/2044423791405924562) の能力を見ていただければ、あなたにとって悪い知らせがあります」とツイートしました。もしあなたがまだ GPT 5.4-Cyber を見ていないなら、Mythos に対する OpenAI の回答である [OpenAI はバイナリをソースコードにリバースエンジニアリングできる](https://www.xda-developers.com/openais-new-gpt-5-4-cyber/) と主張しています。 もしそれがその約束を果たすなら、「暗黒によるセキュリティ」という常に根拠の薄い議論は完全に葬り去られることになります。ついに Windows の中身が本当に何であるかを見ることができ、そしてそれがどれほど楽しいことでしょう！ さらに、セキュリティを向上させるためにオープンソースを放棄する動きも止まるでしょう。 ただし、現時点で他の企業やプロジェクトがカールの再ライセンス化の足跡を追った例はありません。私も、追従するところがあるとは思えません。 確かに、AI はオープンソースプログラミングを根本から変えています。来年の今頃、オープンソースコーディングがどのような姿になるかを理解できるとは思っていません。プログラミングに対する AI の変革はあまりにも広範であり、私には推測すらできません。しかし言えることは、古く、すでに否定されたプロプライエタリ（proprietary：独自所有）ライセンスモデルに後退するのではなく、AI とオープンソースをどのように組み合わせて使うかを学ぶ方が、私たちにとって有益であるということです。 ®

AIはオープンソースコードのセキュリティを殺さない

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト