AIレビューが構造的に見落とすセキュリティ4カテゴリ ──「AIが問題ないと言った」を診断者が信用しない理由（OWASP Top 10:2025対応）

AIによるコードレビューが、動作の正しさ（正常系）は保証するものの、セキュリティ上の脆弱性（攻撃者視点）を見落とす可能性を指摘。OWASP Top 10:2025対応として、AIの判断を鵜呑みにしないことの重要性を強調する。

• AIコードレビューは正常系の動作保証はするが、悪用されないことまでは保証しない。
• LLMコードレビューでは、認可の欠落、設定不備、設計上の脆弱性、異常系の処理漏れが見落とされやすい。
• OWASP Top 10:2025では、AIが苦手とする認可、設定不備、設計、異常系が上位を占めている。
• AIレビューと人間の脅威モデリングを組み合わせ、守備範囲を分担する二段構えの対策が推奨されている。