こんにちは！合同会社BitLaboの楠原です。
先週（2026年7月20日）、日本最大級のPHP（Webシステム開発の主要言語）の技術カンファレンス「PHPカンファレンス2026」が開催されてました。
私も一エンジニアとして、最新の技術トレンドをインプットするために毎年拝聴しているのですが、その中で背筋が凍るような、しかし「今システム開発を考えている全ての経営者様に、今すぐ伝えなければならない！」という超重要なテーマがありました。
それが、AIを使ったシステム開発に潜む最新の罠「二重の信頼問題（サプライチェーン攻撃）」です。
難しい言葉は一切抜きにして、なぜ「AI任せで安く作ったシステム」が、ある日突然ハッカーに会社を乗っ取られる原因になるのか。めちゃくちゃ分かりやすく解説します。
■ AIが教える「存在しない毒キノコ」を食べてしまう開発者たち
AI（ChatGPTやGitHub Copilotなど）を使ってプログラミングをしたことがある人なら分かると思いますが、AIは時々、「もっともらしい嘘（ハルシネーション）」をつきます。
例えば、システムに新しい機能（決済機能や画像処理など）を追加したい時、AIに聞くとこう答えます。
「それなら、〇〇-payment-library という便利な拡張パッケージを使うと一瞬で実装できますよ！」
しかし、恐ろしいことに、そのパッケージは現実のどこにも存在しない、AIが脳内で作り出した「架空のパッケージ」だったりするのです。
これが、すべての悲劇の始まりです。
■ ハッカーは「AIがつく嘘」を先回りして罠を張っている
頭の良い悪意あるハッカーたちは、この「AIの癖」を完璧に把握しています。
ハッカーは、AIが嘘として提案しそうな「架空のパッケージ名」をあらかじめ予測します。
その名前を使って、「ウイルス（悪意あるコード）を仕込んだ偽物のパッケージ」を本物のライブラリ配信用サイトに登録して待ち構えます。
ITの裏側を知らない、またはAIを盲信している開発者が、AIに言われるがままにその偽パッケージをシステムにインストール（composer require）してしまいます。
森の中で、AIから「このキノコは食べられますよ！」と教えられ、ハッカーが事前に植えておいた「毒キノコ」を自分で収穫してスープに入れてしまうようなものです。
これが、今IT業界で猛威を振るい始めている「AIコード生成を逆手に取った、サプライチェーン（仕入れルート）攻撃」のリアルです。
■ なぜ「格安のAI依存開発」はギャンブルなのか？
現在のWeb業界には、「AIを使って開発効率を上げたので、従来の半額でシステムを作ります！」と謳う開発会社や個人フリーランスが急増しています。
確かに、動くだけのシステムならAIだけで一瞬で作れます。
しかし、その開発者は「AIが仕入れてきたパーツが、ハッカーの仕込んだ毒キノコではないか」を、自分の目で1行ずつ検証しているでしょうか？
「AIが動くって言ってるから大丈夫」
「テストが通ったから納品します」
この「AIへの盲信」と「開発者のセキュリティ意識の低さ」。これが、PHPカンファレンス2026でも警鐘を鳴らされた「二重の信頼問題（ダブル・トラスト・プロブレム）」の本質です。
もし毒キノコが混入したシステムを公開してしまえば、ある日突然、お客様のクレジットカード情報や個人情報がすべて海外のサーバーに流出し、会社は一発で信用を失い、崩壊します。
■ BitLaboが守る、安全安心の「最後の砦」
だからこそ、私はこの連載で何度も声を大にして言ってきたのです。
「AIは優秀な副操縦士であって、操縦桿を握る機長は、人間のプロでなければならない」
BitLaboの開発プロセスでは、AIが提案したコードやライブラリをそのまま無批判にシステムに組み込むことは絶対にありません。
そのパッケージの「ソースコード」は安全か？
開発元は信頼できるコミュニティか？
AIがハルシネーション（嘘）をついていないか？
20年間、泥臭いシステム開発の現場でセキュリティと戦い続けてきた私（楠原）の厳しい「プロの目」で、すべての依存関係を泥臭くチェックしてから本番環境へデプロイします。
「安さ」だけに釣られて、裏側に毒キノコを仕込まれた爆弾システムを掴まされないために。
大切な会社のIT資産を守るなら、ぜひ一度、私にその図面（設計）を見せてください。
「うちの会社が今作ろうとしているシステム、セキュリティ的に本当に大丈夫かな？」と少しでも不安になった社長さん、BitLaboのお問い合わせフォームから、楠原までいつでもお気軽に「セカンドオピニオン（安全診断）」のメッセージを送ってくださいね。毒キノコ、きれいに見分けます！
