何が起きたか
2026年11月9日に北米で開催されたOpen Source SecurityConで（取得したプレスリリースのjson-ld datePublished=2026-11-09で確認）、OpenSSFはAIセキュリティ作業の拡大を発表しました：(1) MOSAIC（Multi-Organization Secure AI Coordination）に参加し、知識を共有し一貫したAIセキュリティ標準とガイダンスを生成することを目指し、NIST SP 800-53コントロールSC-42やその他のフレームワークと整合する参加イニシアチブの標準化マップを目標とすること；(2) ベストプラクティスおよびAI/ML作業グループから新ガイド「AIを使用したソフトウェア脆弱性の発見と修正：開発者向けガイド」を公開し、AIの準備/サンドボックス化、問題の検証と修正、AI生成パッチは自動テストと人間によるレビューなしで決して信頼してはならないことを強調（関連するLFD126コースも計画中）；(3) Secure AI Associate（SAIA）認定を2026年12月に開始し、トレーニングデータから本番パイプラインまでのAI/MLライフサイクルをカバーすること；(4) 「2026年ソフトウェアセキュリティおよびサイバーセキュリティに対するAIの影響の現状」レポートを支援し、58%のチームがセキュリティレビューが追いつくよりも速くコードをリリースし、60%がAIコーディングアシスタントにより外部パッケージがコードベースに増加したと報告していること。
なぜ重要か
OpenSSFはオープンソースソフトウェアセキュリティの分野で認知された業界横断組織（Linux Foundation）です。その新しいAIセキュリティガイダンス、MOSAICコラボレーション、SAIA資格は、ソフトウェアチームにAI支援開発およびAI/MLサプライチェーンを保護するための具体的でツールに依存しない実践を提供し、NIST SP 800-53 SC-42との整合を目指しています。これは、AIコーディングアシスタントがSDLCを加速し、バグ発見から攻撃までの時間を短縮する中で、直接関連する実践的ガイダンスです。
必要な対応
ソフトウェアセキュリティおよびDevSecOpsチームは「AIを使用したソフトウェア脆弱性の発見と修正」ガイドとSAIA認定を採用してAI/MLライフサイクルスキルを習得すべきです。また、OpenSSF/MOSAICの成果がNIST SP 800-53 SC-42と整合するよう追跡してください。