Alibaba が AI コードレビュー「Open Code Review」を OSS 公開 — 100 万件の欠陥検出が示す現実解

中国のテック大手 Alibaba が、AI を用いたコードレビューエージェント 「Open Code Review」 を公開した。同社内ですでに数万人の開発者が利用し、累計 100 万件のコード欠陥を検出済みという実戦規模のシステムが、そのままオープンソースとして外に出てきた格好だ。AI 任せのコードレビューは精度のばらつきが課題とされてきたが、Open Code Review は「既存の汎用 LLM に独自のルールセットを噛ませて精度を底上げする」アプローチを取る。

既存 LLM を「ルール」で武装するという発想 #

Open Code Review の肝は、新しい LLM を作らない点にある。Claude や GPT 系を含む手持ちのモデルに対し、組織固有のコーディング規約、過去に出たバグ類型、社内 SDK の誤用パターンなどを ルールファイルとして注入 し、レビュー観点をプリセット化する。要するに、社内 lint と社内 wiki の知見をプロンプトレベルで体系化する仕組みだ。

これは、汎用な AI レビューが「綺麗だが浅い」指摘ばかり吐き出す問題への現実解である。SAST (静的解析) と AI コードレビューの中間 に位置するレイヤーと言ってよく、ルール = 検査項目、AI = 文脈理解、という分担が明確になっている。

セキュリティ屋から見た「100 万件」の読み方 #

100 万件という数字はインパクトがあるが、種別の内訳が公開されていない以上、額面通りには受け取れない。とはいえ Alibaba 規模 (数万エンジニア) のコードベースで AI がレビューに常駐すれば、SQL インジェクションや権限チェック漏れなど "型にハマる脆弱性" は確実に拾えるだろう。逆に言えば、ロジック欠陥や設計レベルの脆弱性は依然として人間レビュアーの領域であり、ここを AI に丸投げするとセキュリティの底が抜ける。

注目すべきは、こうしたツールが OSS で出てきたことで 攻撃者側も同じ仕組みを回せるという点だ。OSS 上の脆弱コードを LLM + ルールで網羅スキャンすれば、未知の脆弱性をスケールで発掘するのも現実的になる。防御側と攻撃側の AI コードレビュー軍拡が、ここから本格化する。

どう使うべきか #

国内チームが導入する場合、最初にやるべきは 「自社で過去にやらかしたバグ」をルール化 することだ。AI コードレビューはゼロから賢くなるわけではなく、組織の失敗の歴史をどれだけ食わせられるかで精度が決まる。Open Code Review はそのフォーマットを提供しているにすぎず、ルール資産そのものは各社の競争領域になる。