日本のクラウドネイティブ開発者100万人到達、その裏で「二重の攻撃面」

「クラウドネイティブ開発者100万人」の内実 #

CNCF(Cloud Native Computing Foundation)と調査会社SlashDataが、2025年12月〜2026年1月に95カ国・1万2500人以上を対象に実施した調査「State of Cloud Native Development in Japan 2026」を公開した。世界のクラウドネイティブ開発者は1990万人、日本はそのうち約95万人に達し、CNCFはこれを「約100万人」とアナウンスしている。

数字だけ見ると華々しいが、内訳を見ると日本の実態はやや異なる。過去12カ月にバックエンド開発で使った技術を聞いた設問では、海外がオンプレミス・プライベートクラウド・ハイブリッドクラウドがほぼ横並びで分散しているのに対し、日本は依然オンプレミスへの依存度が突出して高い。技術別ではAPIゲートウェイ47%、マイクロサービス39%、Kubernetes27%という順で、CNCF自身も「Kubernetesは開発者から見えなくなりつつあるのでは」と分析している。

ハッカー視点で読む「二重の攻撃面」 #

セキュリティ屋の目で見ると、この数字は「攻撃面が減るどころか二重化している」ことを示している。オンプレミス環境が残り続ける限り、パッチ未適用の老朽システムという古典的リスクは消えない。そこにKubernetesやマイクロサービス、API連携が積み上がることで、設定ミスによるクラスタ露出や、認可漏れのAPIエンドポイントといった新種のリスクが加算される。片方が片方を置き換えるのではなく、両方を同時に守らねばならない状態だ。

特に注目すべきはAPIゲートウェイの利用率が最多である点だ。マイクロサービス化が進むほど内部APIの数は増え、シャドーAPIや過剰な権限を持つエンドポイントが生まれやすくなる。Kubernetesの利用率がまだ27%にとどまっているのは、プラットフォームエンジニアリングの成熟で開発者からは「見えない」だけで、クラスタ自体は確実に増えている可能性が高い。開発者が意識しない基盤ほど棚卸しが漏れやすく、攻撃者にとって都合がよい。

現場が今すぐやるべきこと #

CNCFは成熟度モデルの上位段階(サービスメッシュやカオスエンジニアリング)への橋渡しとしてフィーチャーフラグの活用を挙げているが、セキュリティの観点ではその前段が重要だ。まずは「見えていないKubernetes」と「増え続けるAPI」を可視化する棚卸し、そして老朽オンプレ資産のパッチ状況の再確認から着手すべきだろう。開発者数が100万人規模に育った今こそ、攻撃面の管理体制を数字の成長に追いつかせる必要がある。