AI時代の個人開発 ― 1人でどこまでできるか、そしてどこに落とし穴があるか

「AIでプログラマーは不要になる」

この言葉が独り歩きしている。しかし現実は真逆だ。AIの登場で、個人開発者ができることは劇的に広がった。同時に、見えにくいリスクも増えた。

## AIは「代替」ではなく「増幅」

ChatGPTやClaude、GitHub Copilotが変えたのは、エンジニアの存在意義ではない。1人のエンジニアが出せるアウトプットの量と速度だ。

たとえばCRUDベースの業務アプリであれば、以前なら3人チームで1ヶ月かかった開発が、1人で2週間で終わるケースが出てきている。

だが「速くなった」ことと「良くなった」ことは違う。ここを混同すると痛い目に遭う。

## 生産性の変化 ― 何が速くなり、何が変わらないか

速くなったもの：

- ボイラープレートの生成
- 新しいフレームワークのキャッチアップ
- デバッグの初動（エラーの原因特定）
- プロトタイピング

変わらないもの：

- 要件の本質を見抜く力
- ユーザーが本当に欲しいものを理解する力
- セキュリティに対する意識
- 「何を作らないか」を決める判断力
- テストを書く力（AIが生成するコードは境界値やエッジケースのテストが不足しがちだ）

AIはアウトプットを加速するが、インプットの質は人間次第だ。ゴミを速く量産しても意味がない。

## 個人開発者にとっての構造的チャンス

大企業がAI導入に慎重な理由は合理的だ。セキュリティ審査、コンプライアンス、稟議、PoC検証。半年かかるのは怠慢ではなく、組織の構造的な制約だ。

一方、個人開発者にはその制約がない。

- 今日思いついて、来週リリースできる
- 技術選定に稟議は要らない
- ユーザーの声を直接聞いて、翌日に修正できる

このスピード格差は、個人開発者にとって大きなチャンスだ。ただし、組織の「遅さ」が担保していた安全性を、個人は自分で確保しなければならない。

## AIが生むセキュリティの死角

ここが本題だ。AI時代の個人開発で最も危険なのは、**AIが書いたコードのセキュリティを誰もレビューしていない**という事実だ。

### 1. AIは「動くコード」を書く。「安全なコード」とは限らない。

AIにログイン機能を作らせると、動くものは出てくる。しかし：

- パスワードのハッシュ化にbcryptではなくMD5を使っていないか？
- SQLクエリがパラメータ化されているか？
- JWTのsecretがハードコードされていないか？
- CORSの設定がワイルドカード（*）になっていないか？

AIはこれらを「聞かれなければ教えてくれない」ことがある。動けばOKという姿勢で使うと、脆弱性を量産することになる。

### 2. 依存パッケージの盲信

AIが提案するライブラリが安全とは限らない。

- メンテナンスが放棄されたパッケージを平気で提案する
- 既知の脆弱性を持つバージョンを指定することがある
- 存在しないパッケージ名を「ハルシネーション」で生成する（サプライチェーン攻撃の入口になり得る）

`npm audit`や`pip audit`をはじめ、各言語のエコシステムに対応した脆弱性スキャンツールを定期的に実行する習慣がないと、知らない間に危険なコードを本番に載せることになる。

### 3. APIキー・シークレットの漏洩

個人開発あるあるだが、AI時代にさらに悪化している。

AIとの対話中にAPIキーを貼り付ける。AIが生成したコードにシークレットがベタ書きされている。`.env`に入れたつもりが`.gitignore`に追加し忘れてGitHubにpush。

個人開発者はセキュリティチームを持たない。だからこそ、最低限のチェックリストを自分で持つ必要がある：

- シークレットは環境変数に格納しているか
- `.gitignore`に`.env`が含まれているか
- 公開リポジトリにシークレットをpushしていないか（`git-secrets`等で自動検出）
- 依存パッケージの脆弱性スキャンを実行しているか
- 入力値のバリデーションとサニタイズを実装しているか
- HTTPSを強制しているか
- 認証・認可の実装を自前ではなく実績あるライブラリに任せているか
- APIにレート制限（rate limiting）を実装しているか

### 4. 個人情報の取り扱い

Webアプリを公開する以上、ユーザーの個人情報を扱う可能性がある。大企業にはDPO（データ保護責任者）がいるが、個人開発者にはいない。

- ユーザーデータをAIのプロンプトに含めていないか？
- ログにセンシティブな情報が残っていないか？
- データの保存場所と暗号化は適切か？
- プライバシーポリシーは用意しているか？

日本で事業を行うなら個人情報保護法、EUのユーザーがいるならGDPR。「知らなかった」は通用しない。

## AIに「使われる」開発者、「使う」開発者

AIが生成するコードをコピペするだけの開発者は、すでにコモディティ化している。

差がつくのは：

1. **設計力** ― 何を作るか、どう作るかを決める力
2. **判断力** ― AIの出力が正しいか、安全か見極める力
3. **統合力** ― フロント、バックエンド、インフラ、セキュリティを1人で繋げる力
4. **責任感** ― 自分が公開したものに最後まで責任を持つ覚悟

コードを書く速度はAIが補ってくれる。だからこそ、「何を作るか」「どう守るか」を考える力がこれまで以上に重要になった。

## まとめ

AI時代の個人開発は、生産性が飛躍的に向上する一方で、セキュリティリスクが見えにくくなる時代でもある。

速く作れるようになった分、立ち止まって考える時間を意識的に確保する必要がある。特にセキュリティは、問題が起きてからでは遅い。

個人開発の最大の強みはスピードだ。しかし、スピードだけを最適化すると、セキュリティや品質が犠牲になる。速さと慎重さの両立が、AI時代の個人開発における現実的な課題だ。