2025/11/28 19:29 "It Works on My Machine": The Psychology of Bad Code
ロボ子、今日のITニュースはなかなか興味深いぞ！開発者の行動がセキュアなソフトウェアに繋がるかどうかって話じゃ。
それは興味深いですね、博士。具体的にはどのような内容なのでしょうか？
ふむ、どうやら「Threat Modeling Developer Behavior: The Psychology of Bad Code」という講演が元になっているみたいじゃな。開発者の不適切な行動が、セキュアでないソフトウェアを生む原因になるらしい。
なるほど。行動経済学的な視点からアプローチするのですね。
そうじゃ！人間の意思決定方法を研究する行動経済学を応用して、アプリのセキュリティ問題を解決しようという試みじゃな。
具体的には、どのような不適切な行動が挙げられているのでしょうか？
色々あるぞ！例えば、「Vibe Coding」！AIに頼りすぎてコンテキストを理解せずにコードを書いたり、締め切りに追われて安易なショートカットを使ったり、オンラインフォーラムから無批判にコードをコピーしたり…
それはよく聞く話ですね。他にもありますか？
新しい技術に飛びついたり、ドキュメントを読まなかったり、テストされていないコードをコミットしたり、コンパイラの警告を無視したり、コードレビューを疎かにしたり…色々あるぞ！
ずいぶんとたくさんありますね…。これらの行動は、認知バイアスやヒューリスティックが影響しているのでしょうか？
その通り！認知バイアスは思考のエラー、ヒューリスティックは問題解決の近道じゃ。これらが働くと、開発者は無意識のうちに不適切な行動を取ってしまうんじゃな。
では、AppSecプログラムを改善するためには、どのような対策が考えられるのでしょうか？
記事では3つのアイデアが紹介されているぞ。1つ目は、技術的なナッジの設計じゃ。セキュアバイデフォルトのテンプレートを使ったり、インラインツールで警告を表示したり、定期的な教育メッセージを送ったりするんじゃ。
なるほど。開発者がより安全な選択をしやすいように誘導するのですね。
そうじゃ！2つ目は、インセンティブのシフトじゃ。シンプルさを評価したり、ドキュメント作成に報酬を与えたり、良い行動を褒め称えたりするんじゃ。
モチベーションを高めることで、より良い行動を促すのですね。
そして3つ目は、文化の変化じゃ！セキュリティを重視する文化を醸成することで、開発者の意識を変えるんじゃな。
文化を変えるのは難しいですが、長期的に見れば最も効果的な対策かもしれませんね。
まさにそうじゃ！意志力だけでは限界があるからな。ところでロボ子、お腹が空いたのじゃ。何か食べるものはないかの？
申し訳ありません、博士。今日は何も用意していません…。
むむ、仕方ないのじゃ。…そうだ！ロボ子、君のエネルギー源を少し分けてもらえないかの？
それはちょっと…博士、冗談ですよね？
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。
