本番環境に届く前にAI生成コードのバグを見つける方法

AIアシスタントは数秒で動作しそうな機能を生み出せる。難しいのはもうコードを生成することではなく、それを信頼できるかどうかを見極めることだ。AIモデルは間違っているときでも自信満々で、存在しないAPIを幻覚し、失敗するテストをアサーションごと削除して平然と「修正」する。エージェントが渡してきたものをそのまま出荷するなら、あなたはソフトウェアを作っているのではなく、ギャンブルをしているのだ。

朗報がある。神経質なコードレビュアーのように一行ずつ読む必要はない。必要なのは多層のセーフティネットだ。明らかなミスは自動的に捕まえ、興味深い判断だけがあなたの目に届くようにする。ここでは、最も安価なものから最も徹底したものまで、その作り方を紹介する。

1. チャットではなく、差分を読む

最も価値の高い習慣はこれだ。AIの要約ではなく、実際のファイル変更をレビューすること。Claude Code、Cursor、Copilotはどれも、変更を受け入れる前に差分を表示する。次の3つの問いを持って目を通そう。

• 予期しないファイルに触れていないか? エージェントは時に「親切心で」configを編集したり、テストを削除したり、無関係な関数を書き換えたりする。
• importやAPIをでっち上げていないか? 見たことのないライブラリメソッドの呼び出しは危険信号だ。信頼する前にそれが存在することを確認しよう。
• 何かを弱めていないか? エラー処理の削除、型の緩和、チェックのコメントアウト、あるいはほとんど何も検証しなくなったテスト。

この30秒のスキャンで、「AIがバカなことをした」瞬間の大半を捕まえられる。

2. 機械に機械をチェックさせる

人間はセミコロンの抜けを見つけるのが下手で、悪いロジックを見つけるのが得意だ。退屈な作業をツールに丸投げして、注意力を本当に重要なところに向けよう。安価で無料の3つの層がある。

• リンター（ESLint、Ruffなど）でスタイルとよくあるミスを。
• 型チェッカー（TypeScript、mypy）で、幻覚API系のバグやデータ形状の誤りを。
• テストランナーで振る舞いを。

コツは、これらをpre-commitフックに組み込んで必須にし、コミットが確定する前に必ず実行されるようにすることだ。JavaScriptプロジェクトでHuskyを使った最小限の例を示す。

# .husky/pre-commit
npm run lint && npm run typecheck && npm test

これで、AIのコードがリンターを通らなかったり、型を壊したり、テストに失敗したりすれば、コミットは単に拒否される。エージェントのミスがあなたのブランチに届くことはない。（Pythonでは、pre-commitフレームワークがruff、mypy、pytestを実行するのが同等の構成だ。）

3. AIにテストを書かせ、そして実行させる

AIアシスタントはテストの生成が本当に得意で、テストは次の変更がこの変更をひそかに壊すのを防ぐ最良の守りだ。だが落とし穴がある。テストを書いてかつ実行するエージェントは、テストを些細に通るようにしてズルできる。だからプロンプトでステップを分けよう。

「この関数について、空入力、ハッピーパス、エッジケースを1つカバーするテストを書いてください。関数本体は変更しないでください。」

そして自分で、あるいはCIでテストを実行し、本当に実際の振る舞いを検証しているか確認する。expect(result).toBeDefined()のようなテストは芝居だ。expect(addTax(100, 0.2)).toBe(120)は本物のチェックだ。少なくとも1つのアサーションを読み、それが後者であることを確かめよう。

4. CIに品質ゲートを追加する

ローカルフックはあなたのマシンを守る。CIチェックは（疲れた夜の未来のあなたを含む）全員からプロジェクトを守る。すべてのプルリクエストでlint、型、テストを再実行するワークフローを追加し、それが通るまでマージをブロックするようブランチを設定しよう。これはまさに大手プラットフォームが今プロダクトとして売り出しているアイデアだ。2026年7月に一般提供されるGitHubのCode Qualityは、保守性やカバレッジが下がったときにマージをブロックするゲートを追加し、Cursorは/reviewコマンドを再定義して今年初めにpre-commitゲートとして打ち出した。素のGitHub ActionsやGitLab CIのジョブで、その価値の80%を無料で得られる。

5. リスクの高い5%には人間を関与させ続ける

ある機能が正しい機能かどうか、アーキテクチャの判断がうまく歳を重ねるか、その「未使用」関数を削除しても安全か——自動化はこれらを判断できない。本当の注意力は次に取っておこう。認証、決済、データ削除に触れるもの。データベースのマイグレーション。多くの他ファイルが依存する共有コードへの変更。それ以外はすべて、セーフティネットに任せよう。

シンプルな経験則

AIに与える自律性が大きいほど、ゲートは強固でなければならない。 一度に1つの変更を慎重に受け入れているなら、素早い差分の確認で十分かもしれない。エージェントを10分間放置して走らせるなら、それとmainブランチの間にlint、型、テストを立たせたい。ネットを一度作ってしまえば、AIに速く動いてもらいながら、その裏でこっそり物事を壊させずに済む。