この記事のポイント
- 判定ごとにコードや設定の根拠を残す
- 証拠を見つけられない項目は未確認として扱う
- 人が追加の証拠を照合し、修正の優先順位を決める
AWSが2026年10月28日に紹介したSmarshの社内点検は、AIの判定と根拠を一緒に確認する仕組みである。日本企業がAI基盤の認証や外部入力への対策を点検する際も、判定を見直せる記録が参考になる。[1]
何が起きたのか
SmarshはClaude向けの社内スキルに、AWSの設計指針にある150項目を組み込んだ。AIがコードや設定を読み取り、人が結果を確認して対策を選ぶ。[1]
点検の分担
- Claude：コードや設定から根拠を集めて判定
- Smarshの担当者：結果の確認と修正の優先順位付け
- AWS：サービスの動作に関する確認先
なぜ今なのか
指針を手作業で点検すると、担当者ごとに記録の形式が変わる課題があった。今回の仕組みは項目と判定基準を固定し、根拠・不足・修正案を同じ形式にまとめる。[1]
記録方法の変化
- 手作業の課題：担当者ごとに点検の形式が変わる
- 今回の仕組み：共通項目に根拠・不足・修正案を記録
点検から判断まで
- 収集：コードや設定を読み取り
- 判定：根拠を添えて報告書を作成
- 確認：人が結果を検証し対策を選定
日本の企業にとって何が変わるか
自社へ取り入れる際は、未確認の項目を残して人へ渡す運用が判断点となる。Smarshでは開発者が追加の証拠を示し、依存ライブラリの点検についてAIの判定を修正した。[1]
- 判定の根拠となるコードや設定をたどれるか
- 認証や外部からの不正な指示への対策を確認したか
- 未確認事項を誰が調べ、判断するか
まとめ
点検結果を受け取った担当者は、根拠の確認から修正の優先順位付けへ進める。Smarshはコードだけでは分からないサービスの動作を、AWSへの具体的な確認事項に整理した。[1]
結果ごとの確認先
- 根拠がある判定：担当者が証拠と結論を照合
- 根拠が見つからない項目：未確認として追加調査
- サービスの動作：AWSへの質問に整理