Agentic Coding

最近のAIはプロンプトで対話形式で何かの相談をしたり、コンテンツ作成をするのが流行っていますが、プログラムコード自体を作って自動テストし、これを繰り返させる仕組みが出現しています。

Agentic Coding というのですが、これを全て無料でやってみました。

ふだん使っているVScodeにClineという拡張機能を入れ、行います。これを動かすためのAIエンジンを何にするかですが、お金をかけられるなら何回でも好きなだけできるのを選択すればいいですが、私はそれほどかけるかどうかわからないので、GeminiのAPIキーを使いました。

Agenticの一般的セオリーに従って

要件定義→開発規約→ガードレール→自動テスト→継続インテグレーション（CI）

というサイクルで行います。自分のWebサイトを作らせることにして、要求事項とか、やってはいけないことを指示書にして作らせ、自動テストまで行きました。最後の仕上げのCIでは、自分のGithubに連動して回す仕組みを作るのですが初日は、AIに実行させる回数が上限に達してしまい翌日に持ち越し。

再開後、Githubとの関係構築でかなりてこずりましたが、なんとかできました。　試しに、修正要件をTODO.md という形にしてClineに指示を出しテストまで自動で行うことができました。今のとこGithubにpushするのは手動ですが、これも自動化は容易と思います。

脆弱性スキャナ

製品の中に脆弱性がないかを管理しないと罰金をとられる世の中になってきました。

欧州のサイバーレジリエンス法、通称CRAといいますが、欧州の法律で、IoT製品はすべからく脆弱性を管理しないとビジネスができなくなってきました。

この脆弱性をSBOMというデータベースで管理しないといけないわけで、有償ツールとしてBlack Duck というのがあります。しかしこれがバカ高い。そこでフリーのツールでできないかというと、これがあるんですね。

Trivyといって、OSやファームウェアのバイナリを読んでその中に脆弱性がないかをチェックしてくれます。テスト的に古くなったJetsonやRaspberyPiに使っているmicroSDがあり、まだそのままOSが入っているので、試しに マウントしてからrootfsの箇所をTrivyで解析すると、数千以上のCVEメッセージが出ます。CRITICALとHIGHに限定してもかなりの量で、どれが自製品に直接関係あるかを確認するだけでも気が遠くなりそう。

かなり昔のIoT装置だから脆弱なのはわからないでもないが、しかしOTシステムなど機械装置などの制御コントローラはパソコンみたいに３年程度で更新せず、10年以上は使うわけで、毎年こんなに警告出されてもなぁ　とも思います。

CRAやPSIRTの運用では気楽に、SBOMで脆弱性を定期監視して対処せよということを言われますが、対象機器が大量にあると、見て確認するだけでも大変です。全部が関係するわけないとは思うのですが、CRAとかはなぜそうなのかの判断根拠を持てと言われるわけで、こんなこと人間がやってられるか　という気にもなりますから、AIをうまく使って、どれが自分の製品に関係あるかを探らせたくなりますね。

キリンのAI役員

キリンAI役員は１２人の人格があって忖度せず議論する　という記事が出ています。

もちろん、人間のリアル役員もいるのですが、言いにくいようなこともAIなのでどんどん発言してくるのでしょう。

これをぜひ、我が国の省庁、国会に導入してほしい。人間を一度にゼロにせよとはいわないが、AI職員、AI室長、AI局長にAI議員に忖度しない議論をやらせるべきである　と思います。