「静的解析」だけで終わらせない。 SonarQube の最新機能 × AIでエンジニアの開発生産性を本気で上げる方法

by Wenhan Shi

Embed

Start on current slide

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Confidential - ©2026, SonarSource Sàrl 検証のスピードが足りない 4 AIによりコードを生成スピードが加速された AI生成コードは、セキュリティ、品質、保守性についてエンジニアによる検証が必要このギャップは生産性を制限。しかもAIによるリスクが増大 Google のような大手企業は現在、AI コーディングツールによる生産性向上はわずか 10% であると報告 Source: Lex Friedman podcast interview with Sundar Pichai of Google and Alphabet June 5, 2025

Slide 5

Slide 5 text

Confidential - ©2026, SonarSource Sàrl AI Agentによる検証の不足性 5 ● 判定根拠：ブラックボックス、確率論 ● 再現性：学習データとプロンプトにより回答が揺れる ● 客観性：セルフレビューの限界、⽣成側と同じバイアスを持つ ● コスト：外部AI モデルを利⽤する場合、検証毎にTokenが消費され、コストが増加 GitClearの調査（2025年）では、同じAIによるセルフレビューを⾏うと、コードの重複が8倍増え、脆弱性が約38%増加するの報告 https://www.gitclear.com/ai_assistant_code_quality_2025_research

Slide 6

Slide 6 text

Confidential - ©2026, SonarSource Sàrl SonarQubeを活用してAI Codingを検証 ● 判定根拠：ホワイトボックス‧決定論的 ○ 7K+ルールベース ○ どのルールのどの箇所に違反したかが明確 ● 再現性：100%の同⼀性 ○ 何度実⾏しても常に同じ箇所を指摘 ● 客観性：独⽴した検証レイヤー ○ 組織全体で共通の「品質閾値」を適⽤でき、個々のエージェントの癖に寄らない ● コスト：OSS‧検証回数無制限 6

Slide 7

Slide 7 text

7 z IDEs JetBrains VS Code 35+ Languages and Frameworks Java JavaScript PHP Python Spring React Laravel Django DevOps GitLab GitHub BitBucket Azure Travis CI Jenkins Circle CI Google Cloud AWS Microsoft Marketplaces Expand Your Value With: Premium support | Advanced Security | …and more to come Cloud Free | Team | Enterprise Server Community Build | Developer | Enterprise | Data Center SonarQube for IDE OUR SOLUTION Windsurf Cursor CodeCatalyst

Slide 8

Slide 8 text

8 SonarQubeを使って検証を加速させよ！コードセキュリティ生成コードと参照OSSライブラリの両方を分析し、バグや脆弱性を検出コード品質可用性・保守性・重複度テストカバレッジなどの観点から改善を提案 Quality Gate 品質基準未達のコードを、マージ前に自動で遮断解析結果・ SBOM出力構成管理と品質状況を、自動生成レポートで可視化 MCP Server AIが解析データに直接アクセスし、文脈に沿って改善 AI Codefix ・Remediation 検知した問題をAIが自動修正し、修正工数を激減

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Confidential - ©2025, SonarSource SA コードセキュリティ - SAST 10 クロスファンクション・クロスファイル、およびフレームワークを考慮したデータフロー解析 Taint vulnerabilities Cross-Site Scripting XSS SQL Injection Path Injection Deserialization Server-Side Request Forgery XML Injection / XXE XPath Injection Argument Injection Command Injection Code Injection Reflection Injection Session Fixation Zip Slip Server-side Template Injection NoSQL Injection Open Redirect Log Injection RegEx Injection ReDoS LDAP Injection …

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Confidential - ©2025, SonarSource SA 13  Security: （セキュリティ）不正アクセス、利⽤、破壊からのソフトウェア保護 Reliability: （信頼性）規定の条件下で、⼀定期間パフォーマンスを維持する能⼒ Maintainability: （保守性）コードの理解、修正、および改善のしやすさ Hotspots: （ホットスポット）開発者による確認が必要な、セキュリティ上重要なコード箇所 Dependency Disk: - サードパーティ製オープンソースに含まれる脆弱性 - 組織のライセンスポリシーに抵触する可能性のあるライブラリ Coverage: （テストカバレッジ）テストケースによって網羅されているコードの割合 Duplications: （コードの重複度）ソースコード内における同⼀または類似したブロックの繰り返し

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Confidential - ©2025, SonarSource SA SonarQube MCP Server 22 検知された問題点に該当するRuleを取得問題点の場所が特定され対応方法も入手可能優先度で切り分けし、段階的な修正を実現 ● 公式解析ルールに基づく正確な修正 ● 修正範囲が特定され、周辺ロジックを壊さず、問題箇所だけを修正 ● PJ独⾃の品質基準（「Quality Gate」や「Quality Proﬁle」）に遵守

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Confidential - ©2026, SonarSource Sàrl 26 Thanks! Clean CodeとApplication Securityに関する世界規模のカンファレンス。AI駆動開発の未来や、Sonar製品の最新ロードマップをいち早く発表。⽇本におけるお客様の事例と体験談もあります！ Japan Watching Party in Shinagawa 主要セッションを⽇本語で紹介＋ランチ＆ドリンク • 会場：株式会社クレスコ様本社（品川インターシティA棟 26階） • 時間：3⽉3⽇(⽕曜⽇) 11:45 - 16:00 QRコードからアンケートに回答し、イベントへお申し込みください（抽選制）。本⽇の資料と、イベント当⽇限定ノベルティをプレゼント！

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Confidential - ©2025, SonarSource SA SonarQube MCP Server 28 Toolset Description Analysis コード分析ツール Issues SonarQubeの課題の検索と管理 Projects SonarQubeプロジェクトの閲覧と検索 Quality Gates Quality Gateとそのステータスへのアクセス Rules SonarQubeルールの閲覧と検索 Sources ソースコードとSCM情報にアクセス Measures 指標と測定基準を取得 Languages サポートされているプログラミング⾔語の⼀覧 Portfolios ポートフォリオとエンタープライズを管理 System システム管理ツール (SonarQube Server のみ) Webhooks Webhookの検索と⽣成 Dependency Risks 依存関係リスクの検索