AI支援開発のためのセキュリティベストプラクティス

AIコーディングアシスタントは強力なツールですが、セキュリティを維持するには慎重な取り扱いが必要です。このガイドでは、コード、認証情報、機密データを保護するための必須プラクティスを説明します。

リスクの理解

AIアシスタントがアクセスできるもの

Claude Codeを使用すると、以下にアクセスできます：

• プロジェクトディレクトリ内のファイル
• ターミナルでのコマンド実行
• 環境変数（許可されている場合）
• 会話履歴

潜在的なセキュリティ懸念

1. 認証情報の露出：APIキーやパスワードの誤った共有
2. コードの漏洩：機密のビジネスロジックが外部サービスに送信される
3. 悪意のある提案：脆弱性を含むAI生成コード
4. サプライチェーンリスク：セキュリティ問題のある依存関係の提案

認証情報の保護

シークレットをコミットしない

.gitignoreと.claudeignoreを使用：

# .gitignore
.env
.env.*
*.pem
*.key
secrets/
config/local.json

# .claudeignore
.env*
secrets/
*.pem
*.key
**/credentials*
config/production.json

環境変数を使用

# ✅ 良い例：環境変数を参照
DATABASE_URL=$DATABASE_URL

# ❌ 悪い例：ハードコードされた認証情報
DATABASE_URL=postgres://user:password@host:5432/db

シークレット管理

シークレットマネージャーを使用：

// ✅ 良い例：シークレットマネージャーから取得
import { SecretsManager } from '@aws-sdk/client-secrets-manager';

const client = new SecretsManager({ region: 'us-east-1' });
const secret = await client.getSecretValue({ SecretId: 'my-app/prod' });

// ❌ 悪い例：コードにハードコード
const API_KEY = 'sk-1234567890abcdef';

Claude Codeの安全な設定

権限設定

Claude Codeがアクセスできるものを制限：

// .claude/config.json
{
  "permissions": {
    "read": {
      "allow": ["src/**", "tests/**", "docs/**"],
      "deny": [".env*", "secrets/**", "*.pem"]
    },
    "write": {
      "allow": ["src/**", "tests/**"],
      "deny": ["config/production.*"]
    },
    "execute": {
      "allow": ["npm test", "npm run lint", "npm run build"],
      "deny": ["rm -rf", "curl", "wget", "> /dev/*"]
    }
  }
}

自動承認設定

自動承認は選択的に：

{
  "autoApprove": {
    "read": true,      // 安全：ファイルの読み取り
    "glob": true,      // 安全：ファイルのリスト
    "grep": true,      // 安全：コンテンツの検索
    "write": false,    // 承認が必要
    "bash": false      // 承認が必要
  }
}

監査ログ

セキュリティレビューのためにログを有効化：

{
  "logging": {
    "enabled": true,
    "level": "info",
    "file": ".claude/audit.log",
    "includePrompts": false,  // 機密プロンプトをログに記録しない
    "includeCommands": true
  }
}

AI生成コードのコードレビュー

セキュリティチェックリスト

AI生成コードを常に以下の観点でレビュー：

1. 入力検証

// ❌ 悪い例：検証なし
app.post('/user', (req, res) => {
  const user = new User(req.body);
  user.save();
});

// ✅ 良い例：適切な検証
app.post('/user', async (req, res) => {
  const schema = Joi.object({
    email: Joi.string().email().required(),
    age: Joi.number().min(0).max(150),
    name: Joi.string().max(100).required()
  });

  const { error, value } = schema.validate(req.body);
  if (error) return res.status(400).json({ error: error.details });

  const user = new User(value);
  await user.save();
  res.json(user);
});

2. SQLインジェクション防止

// ❌ 悪い例：SQLインジェクションの脆弱性
const query = `SELECT * FROM users WHERE email = '${email}'`;
db.query(query);

// ✅ 良い例：パラメータ化されたクエリ
const query = 'SELECT * FROM users WHERE email = ?';
db.query(query, [email]);

3. XSS保護

// ❌ 悪い例：XSSの脆弱性
element.innerHTML = userInput;

// ✅ 良い例：エスケープされた出力
element.textContent = userInput;
// または
element.innerHTML = DOMPurify.sanitize(userInput);

4. 認証と認可

// ❌ 悪い例：認可チェックなし
app.delete('/user/:id', async (req, res) => {
  await User.delete(req.params.id);
  res.json({ success: true });
});

// ✅ 良い例：適切な認可
app.delete('/user/:id', authenticateUser, async (req, res) => {
  const user = await User.findById(req.params.id);

  // ユーザーは自分のアカウントまたは管理者のみ削除可能
  if (req.user.id !== user.id && !req.user.isAdmin) {
    return res.status(403).json({ error: 'Forbidden' });
  }

  await user.delete();
  res.json({ success: true });
});

5. 機密データの露出

// ❌ 悪い例：パスワードを返す
app.get('/user/:id', async (req, res) => {
  const user = await User.findById(req.params.id);
  res.json(user);  // パスワードハッシュを含む
});

// ✅ 良い例：機密フィールドを除外
app.get('/user/:id', async (req, res) => {
  const user = await User.findById(req.params.id);
  const { password, ...safeUser } = user.toObject();
  res.json(safeUser);
});

依存関係のセキュリティ

依存関係の監査

定期的に依存関係をチェック：

# npm監査を実行
npm audit

# 脆弱性を自動修正
npm audit fix

# Yarnの場合
yarn audit

信頼できるパッケージのみを使用

# パッケージ情報を確認
npm info package-name

# ダウンロード統計を確認
npm info package-name downloads

# リポジトリを確認
npm repo package-name

依存関係の固定

// package.json
{
  "dependencies": {
    "express": "4.18.2",        // ✅ 固定バージョン
    "lodash": "^4.17.21"        // ⚠️ セマンティックバージョニング
  }
}

Snykやその他のツールを使用

# Snykをインストール
npm install -g snyk

# プロジェクトをテスト
snyk test

# 脆弱性を監視
snyk monitor

安全なプロンプトの作成

機密情報を含めない

# ❌ 悪い例
"このAPIキーsk-1234567890abcdefを使用してAPIクライアントを作成"

# ✅ 良い例
"環境変数からAPIキーを読み取るAPIクライアントを作成"

コンテキストを制限

# ❌ 悪い例
"このファイル全体をレビュー" [5000行の本番コードを貼り付け]

# ✅ 良い例
"この認証関数をレビュー" [関連する50行のみ]

本番データを使用しない

# ❌ 悪い例
"このユーザーデータを処理：
{email: 'real.user@company.com', ssn: '123-45-6789'}"

# ✅ 良い例
"このユーザーデータを処理：
{email: 'test@example.com', ssn: 'XXX-XX-XXXX'}"

ネットワークセキュリティ

HTTPS を強制

// ✅ 本番環境でHTTPSを強制
if (process.env.NODE_ENV === 'production') {
  app.use((req, res, next) => {
    if (req.header('x-forwarded-proto') !== 'https') {
      res.redirect(`https://${req.header('host')}${req.url}`);
    } else {
      next();
    }
  });
}

CORS を適切に設定

// ❌ 悪い例：すべてのオリジンを許可
app.use(cors({ origin: '*' }));

// ✅ 良い例：特定のオリジンのみ許可
app.use(cors({
  origin: ['https://app.example.com', 'https://admin.example.com'],
  credentials: true,
  maxAge: 86400
}));

レート制限を実装

import rateLimit from 'express-rate-limit';

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15分
  max: 100, // IPあたり100リクエストに制限
  message: 'このIPからのリクエストが多すぎます'
});

app.use('/api/', limiter);

データ保護

暗号化

import crypto from 'crypto';

// データを暗号化
function encrypt(text: string, key: string): string {
  const iv = crypto.randomBytes(16);
  const cipher = crypto.createCipheriv('aes-256-cbc', Buffer.from(key), iv);
  let encrypted = cipher.update(text);
  encrypted = Buffer.concat([encrypted, cipher.final()]);
  return iv.toString('hex') + ':' + encrypted.toString('hex');
}

// データを復号化
function decrypt(text: string, key: string): string {
  const parts = text.split(':');
  const iv = Buffer.from(parts.shift()!, 'hex');
  const encrypted = Buffer.from(parts.join(':'), 'hex');
  const decipher = crypto.createDecipheriv('aes-256-cbc', Buffer.from(key), iv);
  let decrypted = decipher.update(encrypted);
  decrypted = Buffer.concat([decrypted, decipher.final()]);
  return decrypted.toString();
}

パスワードのハッシュ化

import bcrypt from 'bcrypt';

// パスワードをハッシュ化
async function hashPassword(password: string): Promise<string> {
  const saltRounds = 12;
  return await bcrypt.hash(password, saltRounds);
}

// パスワードを検証
async function verifyPassword(password: string, hash: string): Promise<boolean> {
  return await bcrypt.compare(password, hash);
}

機密データのサニタイズ

// ログから機密データを削除
function sanitizeForLogging(obj: any): any {
  const sensitive = ['password', 'token', 'apiKey', 'secret', 'ssn'];
  const sanitized = { ...obj };

  for (const key in sanitized) {
    if (sensitive.some(s => key.toLowerCase().includes(s))) {
      sanitized[key] = '[REDACTED]';
    }
  }

  return sanitized;
}

// 使用例
logger.info('User login', sanitizeForLogging(userData));

セキュリティヘッダー

Helmetを使用

import helmet from 'helmet';

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      styleSrc: ["'self'", "'unsafe-inline'"],
      scriptSrc: ["'self'"],
      imgSrc: ["'self'", "data:", "https:"],
    },
  },
  hsts: {
    maxAge: 31536000,
    includeSubDomains: true,
    preload: true
  }
}));

カスタムセキュリティヘッダー

app.use((req, res, next) => {
  // XSS保護
  res.setHeader('X-XSS-Protection', '1; mode=block');

  // クリックジャッキング保護
  res.setHeader('X-Frame-Options', 'DENY');

  // MIMEタイプスニッフィング防止
  res.setHeader('X-Content-Type-Options', 'nosniff');

  // リファラーポリシー
  res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin');

  next();
});

セキュリティテスト

自動セキュリティテスト

# OWASP ZAPでスキャン
docker run -t owasp/zap2docker-stable zap-baseline.py \
  -t http://localhost:3000

# Burp Suiteでテスト
# または他のペネトレーションテストツール

セキュリティテストの統合

// security.test.js
describe('Security Tests', () => {
  test('should reject SQL injection attempts', async () => {
    const maliciousInput = "'; DROP TABLE users; --";
    const response = await request(app)
      .post('/api/search')
      .send({ query: maliciousInput });

    expect(response.status).toBe(400);
  });

  test('should sanitize XSS attempts', async () => {
    const xssInput = '<script>alert("XSS")</script>';
    const response = await request(app)
      .post('/api/comment')
      .send({ text: xssInput });

    expect(response.body.text).not.toContain('<script>');
  });

  test('should enforce rate limiting', async () => {
    const requests = Array(101).fill(null).map(() =>
      request(app).get('/api/data')
    );

    const responses = await Promise.all(requests);
    const tooManyRequests = responses.filter(r => r.status === 429);

    expect(tooManyRequests.length).toBeGreaterThan(0);
  });
});

インシデント対応

セキュリティインシデント計画

1. 検出：異常なアクティビティを監視
2. 封じ込め：影響を制限
3. 根絶：脆弱性を修正
4. 回復：サービスを復元
5. 学習：インシデントから学ぶ

セキュリティ監視

// 疑わしいアクティビティをログ
function logSecurityEvent(event: SecurityEvent) {
  logger.warn('Security Event', {
    type: event.type,
    severity: event.severity,
    ip: event.ip,
    user: event.userId,
    timestamp: new Date().toISOString(),
    details: sanitizeForLogging(event.details)
  });

  // 重大なイベントの場合、アラートを送信
  if (event.severity === 'critical') {
    alertSecurityTeam(event);
  }
}

コンプライアンス

GDPR準拠

// ユーザーデータの削除
app.delete('/api/user/me', authenticateUser, async (req, res) => {
  const user = await User.findById(req.user.id);

  // すべての関連データを削除
  await user.deleteAllData();

  // 監査ログに記録
  await AuditLog.create({
    action: 'USER_DATA_DELETED',
    userId: user.id,
    timestamp: new Date()
  });

  res.json({ message: 'All data deleted' });
});

// データエクスポート
app.get('/api/user/export', authenticateUser, async (req, res) => {
  const userData = await User.exportData(req.user.id);
  res.json(userData);
});

SOC 2準拠

• アクセス制御を実装
• 監査ログを維持
• データを暗号化
• 定期的なセキュリティレビュー

まとめ

AI支援開発でセキュリティを維持するには：

1. 認証情報を保護：シークレットをコミットしない、環境変数を使用
2. アクセスを制限：Claude Codeの権限を設定
3. コードをレビュー：AI生成コードをセキュリティの観点で検証
4. 依存関係を監査：定期的に脆弱性をチェック
5. 安全なプロンプト：機密情報を含めない
6. セキュリティテスト：自動テストを統合
7. 監視とログ：セキュリティイベントを追跡

セキュリティは継続的なプロセスです。常に警戒し、ベストプラクティスを更新し続けてください。

次へ：パフォーマンス最適化でアプリケーションを高速化する方法を学びます。

セキュリティチェックリスト

開発前

• .claudeignoreを設定
• 権限設定を確認
• シークレット管理を設定
• 監査ログを有効化

開発中

• AI生成コードをレビュー
• 入力検証を実装
• 認証/認可を確認
• 機密データをサニタイズ

デプロイ前

• 依存関係を監査
• セキュリティテストを実行
• セキュリティヘッダーを設定
• HTTPS を強制

デプロイ後

• セキュリティ監視を設定
• インシデント対応計画を準備
• 定期的なセキュリティレビュー
• チームをトレーニング