# AI生成コードの保護

**AikidoでAI開発ワークフローを強化**

ClaudeのようなAIコーディングエージェントは、コードの作成とコミットを自律的に行うことで開発を加速できます。しかし、新たなリスクももたらします。シークレットを漏えいさせたり、偽のパッケージをインストールしたり、IDEからのフィードバックを見落としたり、十分なセキュリティチェックなしにコードを出荷してしまうことがあります。

**Aikidoがどう役立つか**

* **コミット前の制御:** コードがリポジトリに入る前にミスを検出します。
* **コード生成中:** セキュリティチェックをエージェントのワークフローに近い位置で維持します。
* **マージ前のチェック:** 危険な変更がmainブランチに入る前に रोकります。

チームがClaudeを使っていても、別のAIツールを使っていても、Aikidoはワークフロー全体にガードレールを追加します。

### 主なリスク

* マルウェアを指す幻覚的なパッケージ名
* シークレットやトークンの誤コミット
* エージェントがIDEの外で動作するために見逃されるセキュリティ上の検出結果
* コード生成からマージまでの間にセキュリティチェックがない

### 推奨される対策

#### Safe Chain: 悪意のあるパッケージと幻覚的なパッケージをブロック

[Safe Chain](https://help.aikidogov.us/docs/docs-ja/code-scanning/aikido-malware-scanning) 信頼できるレジストリに対してパッケージをインストール前に検証します。環境に届く前に、偽のパッケージ名や幻覚的なパッケージ名をブロックします。また、難読化されたコード、データ流出、インストールスクリプト、暗号通貨マイナーなどの悪意ある挙動についてネストされた依存関係もスキャンします。公開から24時間未満の新しいパッケージバージョンはデフォルトでブロックされ、Safe Chainはその代わりに最も新しい古い安全なバージョンへフォールバックするため、ビルドを止めずに進められます。

#### Secrets Pre-Commit Hook: シークレットのコミットを防止

次の [Aikido Secrets Pre-Commit Hook](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/aikido-secrets-pre-commit-hook) ステージ済みの変更をスキャンし、シークレット、パスワード、またはAPIキーを含むコミットをブロックします。これは、開発者が書いた変更にもエージェントが生成した変更にも対応します。コードがマシンを離れる前にローカルで実行されるため、Git履歴、CIログ、またはプルリクエストでの意図しない露出の可能性を減らします。IDEプラグインを使うチームは、直接次からインストールすることもできます [Aikido拡張パック](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/ide-plugins-overview/features/aikido-expansion-packs) （現在、VS Codeおよび関連IDEで利用可能です）。

#### Aikido MCP: 生成中にコードをスキャン

次の [AIコーディングアシスタント（MCP）](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/aikido-mcp) セットアップにより、Aikidoをエージェント環境に直接接続します。コードの作成中にシークレットスキャンとSASTを実行し、コミット前に問題を修正するのに役立ちます。次と併用すると [IDEでMCPルールを自動的に処理する](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/aikido-mcp/automatically-handle-mcp-rules-in-ide)、Aikidoは生成、追加、変更されたコードに対してスキャン→修正→再スキャンのループを自動的に強制できます。これにより、後のスキャンを待つのではなく、AIワークフロー内でセキュリティチェックを維持できます。

#### IDEおよび拡張パックのAikido AI: 検出結果を可視化したままにする

[IDE内のAikido AI](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/ide-plugins-overview/features/aikido-ai-in-ide) コードの作成中も検出結果と修正を可視化します。AI AutoTriageで重要度の高い問題を優先順位付けし、AI AutoFixで差分プレビューと自動再スキャン付きのレビュー可能な修正を生成できます。より早く導入したい場合は、 [Aikido拡張パック](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/ide-plugins-overview/features/aikido-expansion-packs) IDEから直接、pre-commitフック、Safe Chain、MCPなどの関連ツールをインストールできます。これにより、開発者とエージェントのワークフロー全体を一か所にまとめられます。

#### PRゲーティング: マージ前にチェックを強制

[PRゲーティング](https://help.aikidogov.us/docs/docs-ja/pr-and-release-gating/aikido-ci-gating-functionality) これは、エージェント生成の変更がmainブランチに到達する前の最終制御ポイントです。SCA、IaC、Secrets、SAST、マルウェア、ライセンスリスク、コード品質にわたる新しい問題についてブランチの差分をスキャンします。また、そのブランチが解決する既存の問題も表示します。重大度のしきい値を設定し、実行するスキャンを選択し、ドラフトプルリクエストをチェック対象にするかどうかを決められます。そのため、前段の制御がスキップされたり回避されたりしても、強力なバックストップになります。

### 推奨セットアップ

1. 有効にする [Safe Chain](https://help.aikidogov.us/docs/docs-ja/code-scanning/aikido-malware-scanning) パッケージのインストール用
2. 次をインストールします [Aikido Secrets Pre-Commit Hook](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/aikido-secrets-pre-commit-hook)
3. 接続する [AIコーディングアシスタント（MCP）](https://help.aikidogov.us/docs/docs-ja/ai-and-dev-tools/aikido-mcp) エージェント環境へ
4. 有効のままにする [PRゲーティング](https://help.aikidogov.us/docs/docs-ja/pr-and-release-gating/aikido-ci-gating-functionality) 最終チェックとして有効にする