AIに小さなプログラムを頼むと、外部パッケージの追加を提案されることがあります。便利そうでも、名前をそのままインストールコマンドに移す前に確認が必要です。AIの出力には誤りがあり、依存関係の提案も人が検討する対象です。導入判断をAIの「安全です」という説明だけに任せないようにします。OpenSSFのAIコード支援ガイド
最初に必要性と配布元を確かめる
標準ライブラリや既存の部品で目的を満たせるなら、新しい依存関係を増やさずに済みます。追加する場合は、プロジェクトの公式サイトから案内される配布先と、提案された名前を照合します。似た綴りや別の派生版にも注意が必要です。登録名が実在するだけでは安全性を確認できません。人気は判断材料の一つですが、ダウンロード数の多さと、正規の配布元であることは別々に確かめます。OpenSSFのOSS評価ガイド
次に、採用する版の既知の脆弱性、修正の提供状況、保守の継続性を調べます。確認対象には、そのパッケージが追加する間接的な依存関係も含めます。OpenSSFのOSS評価ガイド
ハッシュとバージョン固定の役割を分ける
ハッシュは、取得したファイルが期待する配布物と一致するかを照合するための値です。pipのハッシュ検証モードでは、固定した依存関係と、手元で管理するハッシュを使います。直接指定したものだけでなく、依存先も対象です。同じ配布元から受け取ったハッシュだけでは、その配布元による改変への防御にはなりません。pipのSecure installs
ここから分かるのは、照合の成否とコードの安全性を分けて考える必要がある、ということです。悪意あるファイルのハッシュを基準にすれば、そのファイルでも一致します。また、バージョンを固定しても、その版にある脆弱性は修正されません。固定値を残すだけで終わらず、修正版への更新判断も必要です。pipのSecure installs・OpenSSFのAIコード支援ガイド
架空のCSV処理で判断を整理する
以下は説明用の架空例で、実施報告ではありません。CSVから重複候補を表示する処理に、AIが未知の外部パッケージを勧めたとします。まず、必要なのがCSVの読み込みなのか、複雑な照合機能なのかを分けます。PythonにはCSVを読み書きする標準のcsvモジュールがあるため、必要な読み込みを扱えるか調べる選択肢があります。Pythonのcsv公式文書
この記事で提案する判断の流れは、次のとおりです。
必要な機能を整理
→ 標準機能で足りるか検討
→ 外部依存が必要なら配布元と採用する版を確認
→ 不明点が残れば導入を保留
試す段階では、実際の資産名や契約情報を使わず、架空の数行を用意する想定です。「元ファイルは変更しない」「結果は候補として表示する」と条件を書き、空欄や列の不足などの扱いも確認項目にします。これは検証の計画であり、動作確認済みという意味ではありません。
最後に、選んだ方法、確認したURLと版、未確認の点を短く残します。「今回は追加しない」という判断も理由があれば有用です。後から機能が増えたときは、その理由に戻って依存関係を再検討できます。
たとえば確認メモでは、「標準機能で足りると判断した理由」と「外部パッケージが必要になった場合に残る確認」を分けて書きます。調べたことと推測を混ぜず、根拠のない項目は未確認のまま残します。
出典の確認日
2026-11-02。上記4件の公式文書をアシスタントが確認しました。本文は要約と説明用の独自例で、原文の長い転載ではありません。