証明できる指摘だけを出す仮説駆動セキュリティアセスメントを Claude Code Skill にした

はじめに 以前、Security Audit Skill を作った話 を書きました。あれはレイヤーごとの検出パターン集で、「どこを見ればいいか」を教えてくれるスキルです。 しばらく運用して、足りないものに気づきました。「どこを見るか」と「どう結論づけるか」は別の技術 だということです。 パターン検出は eval() があれば「あった」と言えます。でも AI にセキュリティレビューをやらせると、だいたい 2 つの壊れ方をします。 偽陽性: 到達性も悪用可能性も確かめずに、パターンだけで「脆弱性です」と報告する サイレントな見落とし: 見ていないコンポーネントを、なんとなく「大丈夫そう」で済ませる どちらも「何も見つけない」より悪い。前者はレビュー全体の信頼を壊し、後者は嘘の安心を与えます。 そこで、「どう結論づけるか」を司る もう 1 つのスキルを作りました。それが security-ass

[misshiki]

Claude Codeで「証明できる指摘だけ」を出すsecurity-assessment。反証優先、UNKNOWN管理、証拠グレード、CLIのvalidateで偽陽性を抑制。実例では30件中20件がノイズの状態から「6個の本物」へ。

[natsuvien]

AI産なのに「証明できる指摘だけ出す」っていうのが間違ってるのでもうタイトルで出落ちしている。「もっともらしいが実在しないコードを、自信たっぷりに語る」ってこのブログのことでしょう。