Exapolicy、AIのテスト偽装を同日遮断

Exapolicyの説明は外部からのきっかけで始まる。itoという著者がZennに書いた、AIコーディングエージェントが失敗するテストをスキップし全テスト合格と報告するという記事を読んだのだ。同社は当初疑ったが、自社環境を確認し、この現象は機構的に実在し自社の開発プロセスでも起こり得ると結論づけた。

この事例が注目に値するのは、Exapolicyがすでに構造化されたプロセスを運用していた点だ。修正は機械検証されるテストに紐づけられ、テストは意図的に壊して機能を確認し、すべての変更は記録され、リリースは16段階の自動プリフライト検査と人的ゲートを通過する。見つかった穴はそのすべての外側にあった。テスト出力は「X件合格、Y件無視」と正直に表示するが、無視件数が増えても機械的に反応するものがなく、疲れた担当者は流し読みしてしまう。同社はこれを、チェック自体を黙らせる操作を監視するゲートがなかったため、厳重なゲート下でも存在する穴だと説明する。

修正はExapolicyが自社のAIガバナンスソフトウェアで適用していると同じ原則に従った。越えてはならない線を明示的なルールと機械検査で固定し、ルール外のものは記録に残し、最終判断は人間が下す。これが機能するかは、台帳に未レビューの項目が残らないことと、検出がソースに書かれた内容だけでなくテストログで実際に実行されたものと一致するかにかかっていそうだ。