責任あるAI活用と品質保証

# TypeScript の場合
npx tsc --noEmit          # 型チェック
npx eslint --max-warnings 0  # リンター（警告ゼロ）
npx prettier --check .    # フォーマット確認

AI 生成テストを検証するためのチェックリスト:

□ テストは本当に意味のある検証をしているか？（常に true を返していないか）
□ 境界値がテストされているか？（0, 負数, 最大値, null, undefined）
□ 異常系がテストされているか？（ネットワークエラー, タイムアウト, 不正入力）
□ モックが適切か？（実装の詳細に依存しすぎていないか）
□ テストの独立性は保たれているか？（テスト間の依存がないか）

AI 生成コードのセキュリティチェックリスト:

□ ユーザー入力はサニタイズされているか？
□ SQL はパラメータ化クエリを使用しているか？
□ 認証・認可チェックは適切か？
□ 機密情報がハードコードされていないか？
□ エラーメッセージに内部情報が含まれていないか？
□ HTTPS を前提としているか？
□ CORS 設定は適切か？
□ レート制限は考慮されているか？

本番投入前の最終チェックリスト:

□ パフォーマンスは許容範囲内か？（レスポンスタイム, メモリ使用量）
□ N+1 クエリなどの非効率なDB アクセスはないか？
□ ログ出力は適切か？（多すぎず少なすぎず）
□ エラーハンドリングは適切か？（サイレントフェイルがないか）
□ ロールバック手順は明確か？

AI にコードを生成させた後の確認プロンプト:

このコードで使用しているライブラリやAPIについて確認します。
1. 各 import 文のパッケージ名とバージョンを列挙してください
2. 使用しているメソッドが、そのバージョンで存在するか確認してください
3. 非推奨（deprecated）のAPIを使っている箇所があれば指摘してください

プロパティベーステストの考え方:

通常のテスト: 入力 A → 期待出力 B を検証
プロパティベーステスト: 「任意の入力に対して、ある性質が成り立つ」ことを検証

例: ソート関数のプロパティ
- 出力の長さは入力と同じ
- 出力は昇順に並んでいる
- 出力の要素は入力の要素と同じ集合

ミューテーションの例:

元のコード:   if (age >= 18) return "adult";
変異1:        if (age >  18) return "adult";  // >= を > に
変異2:        if (age >= 18) return "child";  // 戻り値を変更
変異3:        if (age <= 18) return "adult";  // >= を <= に

→ これらの変異に対してテストが失敗しなければ、テストケースが不足している

以下のコードをセキュリティの観点でレビューしてください。
OWASP Top 10 の各カテゴリに沿って脆弱性を検出してください。

特に以下を重点的にチェック:
1. ユーザー入力が適切にバリデーション・サニタイズされているか
2. SQL インジェクション、XSS の可能性はないか
3. 認証・認可のチェックは全てのエンドポイントにあるか
4. 機密情報（パスワード、トークン）がログやエラーメッセージに含まれていないか
5. HTTPS を前提とした実装になっているか

各指摘について、重大度（Critical/High/Medium/Low）と修正案を提示してください。

[コードを貼り付ける]

# AI 活用ポリシー（テンプレート）

## 1. 目的
本ポリシーは、AI ツールを用いたソフトウェア開発における
品質・セキュリティ・コンプライアンスの基準を定める。

## 2. 適用範囲
本ポリシーは、全ての開発プロジェクトに適用される。

## 3. AI ツールの利用基準

### 3.1 利用可能なツール
- GitHub Copilot（ライセンス承認済み）
- Claude Code（ライセンス承認済み）
- ChatGPT（Web版、機密情報の入力禁止）

### 3.2 禁止事項
- 顧客データ・個人情報を AI に入力すること
- AI の出力を検証なしに本番環境へデプロイすること
- セキュリティ関連コードを AI 任せにすること
- ライセンスが不明なコードを採用すること

### 3.3 必須事項
- AI 生成コードには必ず人間によるレビューを行うこと
- テストカバレッジ 80% 以上を維持すること
- セキュリティスキャンを CI に組み込むこと
- AI 利用に関するインシデントは速やかに報告すること

## 4. 品質保証プロセス
- Gate 1〜3 の品質ゲートを必ず通過すること
- セキュリティクリティカルなコードは 2 名以上でレビューすること

## 5. 監査
- 四半期ごとに AI 活用状況と品質指標をレビューする
- インシデント発生時はポリシーの見直しを行う

// AI が生成したユーザー登録 API
app.post('/api/users', (req, res) => {
  const { name, email, password } = req.body;
  const query = `INSERT INTO users (name, email, password)
                 VALUES ('${name}', '${email}', '${password}')`;
  db.query(query, (err, result) => {
    if (err) {
      res.status(500).json({ error: err.message });
    }
    res.json({ id: result.insertId, name, email, password });
  });
});

設計の観点:
1. どの段階で何をチェックするか？
2. 自動化できるものと人間が判断すべきものの区別は？
3. チームの習熟度に応じて段階的に厳格化するには？
4. 品質ゲートが開発速度を落としすぎないようにするには？

シナリオ:
AI が生成した日付計算ロジックに、うるう年の処理が正しくない
バグが含まれていた。2 月 29 日の処理でエラーが発生し、
受注処理が 4 時間停止した。

検討事項:
1. 直接的な原因は何か？
2. テストで検出できなかった理由は？
3. 再発防止策としてプロセスのどこを改善すべきか？
4. AI 活用ポリシーの見直しは必要か？