2026年9月16日、個人ブログnetmeister.orgに「Everybody’s Lost Their Minds（みんな正気を失っている）」という記事が公開され、Hacker Newsで話題になっています。著者（jschauma）は、AIブームで業界全体が判断力を失っていると強い言葉で批判しています。特に、AIで脆弱性を大量に見つけても安全にはならないという主張は、セキュリティや開発の現場にいる人が考えるべき論点です。
発表内容
この記事は公式発表ではなく、著者個人の意見です。主な主張は次のとおりです。
- 仕事の楽しさを失った：著者は、毎日の時間の75%以上を直接・間接にAIへの対応に使っていて、そのせいで仕事の楽しさの大半を奪われたと書いています。
- 倫理面の批判：知的財産の搾取、少数の米国企業への権力集中、軍事利用、環境負荷などを挙げ、多くの企業がこうした問題を「倫理はさておき」と棚上げしていると批判しています。
- AIによる脆弱性調査への疑問：AnthropicとOpenAIの取り組みをきっかけに、各組織がGlasswing、Daybreak、Athena、Akritesといった「プロジェクト」に参加し、多くのエンジニアリング資源をつぎ込んだと指摘しています。数千件の新しい脆弱性が見つかったものの、著者は「以前より安全になったとは思わない」と述べています。
記事の中心となる主張は次の一文です。
That’s because finding vulnerabilities has never been the bottleneck in information security. (…) The bottleneck is still, as ever before, getting the goddamn packages updated.
（脆弱性を見つけることが情報セキュリティのボトルネックだったことは一度もない。〔中略〕ボトルネックは今も昔も、パッケージを実際に更新させることだ。）
なぜ重要か
著者は、同じ資源を「基本」に使うべきだったと主張しています。例として挙げているのは次のような施策です。
- パッケージ単位まで把握した、最新で網羅的な資産台帳を整える
- OSやアプリを定期的・頻繁に自動更新できる基盤を作る
- 稼働が30日に達したシステムを自動で再起動し、更新を確実に反映させる
- 自社のIP空間とすべてのクラウドについて、攻撃対象領域を洗い出す
著者は「数十人のシニアエンジニアを6か月、パッチ適用を楽にする作業に充てた方が良い投資だった」と書いています。
記事はさらに、脆弱性の発見、パッチの作成、プルリクエストのレビューまで、すべてAIが担うようになった流れに警告を出しています。
That is, the more AI is in the loop, the less we understand the code base. The mystical “human in the loop” often is nothing more than a rubber stamp.
（つまり、ループの中にAIが増えるほど、私たちはコードベースを理解できなくなる。神秘的な「human in the loop」は、多くの場合ただの形式的な承認印にすぎない。）
著者はデバッグの難しさも取り上げています。組織の誰も中身を理解していない部品で構成された大規模な分散システムは、障害が起きたときにデバッグできなくなるという主張です。AIを開発に組み込んでいるチームにとって、耳の痛い指摘です。
現時点での未確定事項
- 「以前より安全になったとは思わない」は著者の見解です。それを裏付ける定量的なデータは記事中に示されていません。
- 各プロジェクトのコストについて、著者は組織ごとに「数百万ドル規模になるはず」と推定しています。実際の金額が公表されたものではありません。
- 見つかった脆弱性のうちOSSプロジェクトに報告されたのは「ごく一部」とされていますが、具体的な件数や割合は記事では示されていません。
- 記事で名前が出ている各プロジェクトの詳しい内容や成果は、この記事の中では説明されていません。
まとめ
AIブームを痛烈に批判した個人ブログが、Hacker Newsで注目を集めています。
中心となる主張は「脆弱性の発見ではなく、パッチの適用こそがボトルネックだ」という点です。
AIがレビューまで担うほど人間がコードを理解できなくなる、という警告も含まれています。
実装家視点で言うと、この記事の毒舌は脇に置いても「ボトルネックはどこか」という問いは的確だと思います。自分もAIエージェントに実装やレビューを逃がす運用をしていますが、AIが大量に出してくる指摘や差分を人間が本当に理解して取り込めているかは、常に意識しておく必要があります。AIで「見つける量」を増やす前に、見つけたものを確実に反映できる更新・検証の仕組みがあるかを確認する。現場で使うなら、そこが先だと感じました。
元記事: https://www.netmeister.org/blog/everybodys-lost-their-minds.html
コメント