本稿は、セキュリティカンファレンス「NDC Security 2026」で開催された基調講演「25 Years of the Microsoft SDL」の内容に基づく。同講演では、Microsoft Red Teamに所属し、Microsoft SDLの共同設計者の一人であるマイケル・ハワード氏が登壇した。同社のソフトウェアセキュリティの歩みから、AI技術を活用した最新の開発体制までが体系的に語られている。

　Microsoftは、脆弱性を排除する仕組みとして主に2つのアプローチを導入している。

　1つ目は、静的解析ツールとAIエージェントの統合だ。「GitHub」で提供される静的解析ツール「CodeQL」を用いた自動コードスキャンを実行するとともに、LLM（大規模言語モデル）を活用して複雑なソースコードを分析している。膨大な既存コードベースの中からOAuth 2.0トークンの処理に関する脆弱性を洗い出し、検証からプルリクエストの発行までを自動化する。これにより、人間が手作業で行っていた仕様理解や修正の工数を大幅に削減している。

　2つ目は、「CASK」（Common Annotated Security Key）を用いたシークレット（認証キーやパスワードなど）の検出機能だ。ランダムな文字列で構成されるキーの先頭に、「GitHub_PAT」のように用途を示す接頭辞を付与するフォーマットを定めた。開発者が誤ってソースコード内にキーを含めてしまった場合でも、システムが用途を正確に認識し、誤検知なしにプルリクエストをブロックすることが可能になった。

「セキュリティ機能」から「機能の安全性」への転換

　講演の中で、ハワード氏はセキュリティの専門家ばかりではない一般的な開発現場において、認知負荷を下げることの重要性を指摘している。「『これをやってはいけない』と禁止するだけでなく、『代わりにこれを使え』という正しい道筋を整備する必要がある」と同氏は述べる。

　ハワード氏は過去のインシデントを振り返り、開発の考え方が根本的に変化したと語る。かつては認証や暗号化といった「セキュリティ機能」を実装することに重きが置かれていた。しかし、昨今は入力検証やメモリ管理を徹底し、機能そのものを安全に実装する「機能の安全性」へと視点がシフトしているという。

　AIツールによるソースコード生成についても、「常に正しいソースコードを生成するわけではない」と言及した。AIツールは、ハッシュ関数の処理において長さ拡張攻撃の脆弱性を含むソースコードを出力することがある。「AIツールが出力したものは『初心者エンジニアが書いたソースコード』として扱い、必ず人間がレビューに関与する体制が必要だ」と同氏は評価する。

攻撃者視点でのフィードバック

　Microsoftの製品開発では、自社のレッドチーム（攻撃者視点でシステムを検証する専門チーム）であるMicrosoft Red Teamで得られた知見を、SDLのプロセスにフィードバックしている。

　近年、サイバー攻撃における防御の境界線はネットワークからアイデンティティーへと移行している。Microsoft Red Teamは演習において、設定ミスで放置されたリダイレクトURIを悪用し、正規のユーザートークンを取得してシステムに侵入するといった手法が実証されている。こうした実戦的な攻撃の傾向を分析し、アイデンティティー管理や認証システムに特化した入力検証ルールをSDLの必須要件として組み込んでいる。

今後の展望：メモリ安全言語への移行とSFIの推進

　今後のロードマップとして、MicrosoftはCやC++といった従来言語から、メモリ安全性を確保しやすい「Rust」への移行を推進している。コンパイル段階でデータ競合やバッファーオーバーランなどの未定義動作を排除できるという言語特性を生かし、「Microsoft Azure」のコアコンポーネントにおいても、既存のソースコードをRustに書き換える大規模なリファクタリングを進めている。

　コードレベルの安全性を規定するSDLの枠組みを超え、運用プロセスやインフラ設定全体を保護する「Secure Future Initiative」（SFI）の展開を急いでいる。初期状態から安全な設定を義務付ける原則に基づき、アイデンティティーの保護やネットワークの分離を徹底する方針だ。

　AIシステム自体のセキュリティの体系化も進めている。非決定的というLLMの特性を悪用した脅威に対し、入力時の権限最小化などの規定を設けることで、次世代技術においても強固なセキュリティ水準を維持する構えだ。

本稿は、NDC Conferencesが2026年3月12日に公開した動画「Keynote: 25 Years of the Microsoft SDL - Michael Howard - NDC Security 2026」を基に作成しました。