引き継ぎコードとAI。コードベースを段階的に整え、重大なバグをあぶり出すガイド

よくある質問

この規模の監査はどれくらい時間がかかりますか？

コードベースのサイズ次第です。小さなvibe-codedプロダクトなら数日で読めますし、12年物のモノリスなら数週間を要します。重要なのは順序であり、スピードではありません。スタートで速いことはゴールで遅いことを意味します。

なぜセキュリティではなく地図から始めるのですか？

文脈なしのセキュリティスキャンは芝居です。AIは一般的なものを見つけ、しばしばこの具体的なシステムでは問題ですらありません。まずモデルにmermaidの地図を与え、その後でSQLインジェクション、認証バイパスなどの本物の穴を探させます。

1か月でプロダクトを出したvibe-coderにもこのプロセスは効きますか？

はい、むしろより効きます。vibe-codedシステムではAIは最新だからという理由でパッケージの最新版を入れたがり、ヘルパー関数を呼ばれないまま残し、.envファイルやハードコードされたAPIキーについて尋ねませんでした。7ステージすべてが当てはまり、道のりが短いだけです。

本当に引き継ぎシステムの100%が穴だらけなのですか？

過去1年の私たちの実体験では、はい、すべてのシステムにオーナーが存在を知らなかった重大なセキュリティ問題が少なくとも1つありました。モデルは強くなり続け、インターネットは自動スキャナーで溢れ、レガシーコードはその場に残っています。問題は誰がその穴を最初に見つけるかだけです。