開発者がワンクリックでのリミックスとGoogle OAuth展開を備えた新しい'vibe host'サービスを自ら試すために構築した、Hacker Newsのヘッドラインを表示する風変わりなフリップボード風レンダリングは、エンジニアを喜ばせる週末プロジェクトの典型だ。しかしこれは、AIコーディング時代を特徴づけるセキュリティ課題を偶然にも示している。ソフトウェアを出荷するコストの低下が、それを保護するガバナンス成熟度を大きく上回っているのだ。
同じ週に、PolymarketとリサーチファームKlueでの侵害事例が、サードパーティや急速に組み立てられたシステムがいかにエンタープライズセキュリティの弱点となるかを示した。共有プラットフォームのFirebaseバックエンド、OAuthフロー、サーバーレス機能を継承するリミックスアプリはすべて、その爆発半径も継承する。ローコードまたは'vibe-coded'プラットフォームで単一の設定ミスが発生すると、それは数千の下流展開全体に波及する可能性がある。これはまさに、SolarWindsやMOVEitをシステミックな事象に変えたサプライチェーンのダイナミクスそのものだ。
グローバル経営幹部が内面化すべき戦略的変化:ソフトウェアはもはや作成されるのではなく、組み立てられるのだ。Gartnerは、2025年までに新しいエンタープライズアプリケーションの70%以上がローコードまたはノーコードを使用すると推定しており、AIコパイロットは現在、本番コードの相当な割合を生成している。各加速化は、購入者がセキュリティ体制を監査することがほとんどないプラットフォームへの依存を倍増させる。PolymarketとKlueのインシデントは異常ではない。それらは、出所よりも展開速度を最適化する市場の予測可能な産物なのだ。
プラットフォームビルダー(Vercel、Replit、Lovable、そして'vibe coding'スタートアップの波)にとって、セキュリティが真の堀となる。摩擦のないリミックスは、根底にあるアイデンティティ、データ分離、シークレット管理がデフォルトで完璧である場合にのみ機能となる。勝者は、デフォルトで安全であることを選択可能ではなく不可視にする者たちだろう。
推奨される行動:最高情報セキュリティ責任者は、ローコードおよびAI生成アプリを、SBOM相当のインベントリとランタイム監視を必要とする独自の資産クラスとして扱うべきだ。調達チームは、SaaSベンダーにサードパーティ侵害開示SLAと独立した証明を要求しなければならない。急成長するアプリビルダーカテゴリを評価する投資家は、開発者エクスペリエンス指標と同等にセキュリティアーキテクチャとコンプライアンス準備状況を重視すべきだ。なぜなら、次の侵害ヘッドラインは、ほぼ確実に誰も監査しようと思わなかったツールに辿り着くからだ。
