AIコードレビューのセキュリティ検出精度は、正直なところかなり文脈依存だと感じてます。

以前、チームで簡単な脆弱性検出ツールを試してみたことがあるんですが、SQLインジェクションみたいな典型的なパターンはすぐ引っかかるんですよ。でも、その後で実装を工夫して同じ脆弱性を少し違う書き方にしたら、見落とされたことがありました。要するに、よくあるパターン学習には強いけど、コードの構造が複雑になったり、ドメイン固有の実装になると頼りなくなる印象です。

あと地味に困るのは誤検知。実はセキュリティリスクじゃないのに警告が出て、レビュー時間が増えてしまう。チーム内でも「この警告、また来たね」みたいな感じになると、警告疲れで本当に重要な指摘を見落とすリスクも出てきます。

だから自分としては、AIコードレビューを第一防線として使うなら良さそうだけど、最後は人間のレビュアーが必ず確認する運用にしないと危ないかなって思ってます。特にセキュリティ関連は「このツールが大丈夫と言ったから」という判断はしない方が無難だと感じますね。