PRの脆弱性をAIが直す「CodeMender」を見て、新卒が基礎を学ぶ理由を考えた

Posted at 2026-11-11

はじめに

2026年11月、Google Cloudのブログで、CodeMenderをGitHubのプルリクエスト（PR）に組み込む構成が紹介されました。CodeMenderは、コードの脆弱性を見つけて直してくれるGoogleのAIエージェントです。

タイトルだけ見たとき、正直「また一段と便利な世の中になった」と思いました。
PRを出せばAIが脆弱性を見つけて、修正まで作ってくれるからです。

でも、読んでいくうちに考えが変わりました。実際の精度はわからないし、逆に人間の口数が増えることもありそうです。そして一番気になったのは、AIに頼るほど、自分で判断する力が育たなくなるのではないかということです。

この記事では、CodeMenderで何ができるのかと、新卒の自分がこのニュースを見て考えたことをまとめます。

ブログで紹介されている流れは、次の4ステップです。

ちなみに、認証にはOIDCを使っています。OIDCは、キーを保存せずに、短い時間だけ使えるトークンでGoogle Cloudに入るしくみです。攻撃コードの検証は、外部に通信できないCloud Runのジョブで実行します。セキュリティの道具なので、道具そのものの守りもかなり固めてあります。

本当は、わざと脆弱なコードを入れたPRを出して、どこまで直してくれるのかを試したかったです。

でも、公式ドキュメントを読むと、CodeMenderは「一部の顧客に限定したパブリックプレビュー」でした。使うには営業に連絡する必要があり、商用や本番での利用もできません。料金もまだ公開されていません。

精度についても、言語ごとの評価は公開していないと書かれていました。だから今のところ、「どれくらい当たるのか」は自分で確かめるしかなさそうです。

流れを見ると、AIが全部やってくれるわけではないことがわかります。
検証も、修正も、承認も、人間がコメントして指示します。

公式ドキュメントにも、次のように書かれていました。

つまり、AIが修正を作るほど、人間がレビューする量はむしろ増えるかもしれません。

ほかにも、導入するなら知っておきたい注意点がありました。

「AIが見てくれているから安心」と思っていると、見ていないPRがそのまま通ってしまうわけです。

自分はまだ研修中なので、実際のPRレビューで指摘を受けたことはありません。
ただ、レビューで指摘されて直すのはよくある話だと聞いたことがあります。

そこで考えたのが、自分のような未経験者とAIのチェックの関係です。

正直、未経験の自分の目線では、AIのチェックのほうがレベルは高いと思います。だからこそ怖いです。ベテランなら「これは直さなくていい」と判断できるコードでも、自分は「AIがそう言ったから正しい」と思って直してしまいそうです。

AIの指摘が合っているかを判断できないまま、言われたとおりに直す。
これは、AIを使っているようで、実はAIに使われている状態だと思います。

そうならないためには、AIと伴走しながらも、使われる側ではなく使う側でいる必要があります。

そのために何が必要かを考えると、結局は基礎なのかなと思います。なぜその書き方が脆弱なのか、なぜその修正で直るのかを、自分で説明できること。それがないと、AIの修正PRはレビューできません。

便利さが増す時代と逆行するようですが、価値のあるエンジニアを目指すなら、基礎を泥臭く学ばないといけないのかもしれません。

CodeMenderのニュースは、「AIが脆弱性を直してくれる」という便利な話でした。でも、公式ドキュメントを読むと、最後に判断するのはやっぱり人間です。

だから自分は、AIの答えを判断できるだけの基礎を、今のうちから固めたいと思います。