AIに聞いて動いたサーバー設定、そのまま本番に入れて大丈夫? 確かめる5つの手順
動いた。でも、合っているのか分からない
AIに聞いて、その通りにコピペしたら、動いた。
でも——これで合っているのか、本番に入れて大丈夫なのか。それを確かめてくれる人が、隣にいない。そんな不安を抱えたまま、エンター キーを押すのをためらったことはありませんか。
先に言っておきます。AIに頼ること自体は、手抜きでも何でもありません。むしろ、専門の担当者がいない現場で、調べながら形にしていく人にとって、AIは十分に頼れる相棒です。足りないのは知識でも根性でもなく、「動いた」の後に一度だけ挟む、確かめ方だけです。
この記事はその確かめ方を、非エンジニアでもできる順番で渡します。全部を理解する必要はありません。危ないところだけ、先に潰すための手順です。
大前提:「動いた」と「本番で安全」は別のこと
いちばん大事な考え方を先に。
AIが出した手順を実行して画面がエラーを出さなかったとき、私たちはつい「成功した」と思います。ですが、「エラーが出なかった」は「安全だ」を意味しません。
AIの回答は、それらしく、たいてい親切です。でも、次のような穴が静かに混ざることがあります。
- 古いバージョンの手順で、今は非推奨・危険なやり方
- 「とりあえず動かす」ために、セキュリティを一時的に緩めたまま
- あなたの環境には当てはまらない前提で書かれている
これらは実行した瞬間にはエラーになりません。問題が表に出るのは、公開した後・しばらく経った後です。だからこそ、動いた直後の落ち着いているうちに、下の5つを通します。
1. まず「消す・開ける・晒す」操作を探す
AIの間違いがいちばん痛い形で出るのは、この3種類の操作です。手順の中に次のキーワードが無いか、目で追ってください。
- 消す：
rm、DROP、delete、--force、-rf— ファイルやデータベースを消すコマンド - 開ける：
0.0.0.0、port、ファイアウォールやセキュリティグループを「許可」「開放」する記述、--disableで防御を切る記述 - 晒す：
chmod 777（誰でも読み書きできる状態）、認証を「なし」「off」にする設定
これらが1つでもあったら、その行だけは立ち止まって、なぜ必要かをAIにもう一度聞き直します。「この操作は何を消しますか」「これで外から誰がアクセスできるようになりますか」と、具体的に。納得できないなら実行しない。この一手間だけで、取り返しのつかない事故のほとんどは防げます。
ファイアウォールやポートの考え方そのものはサーバーのファイアウォール設計で噛み砕いています。
2. 一番怖い1行だけ、公式で裏取りする
「全部を自分で検証しろ」と言われたら、非エンジニアには無理があります。そこまでやる必要もありません。
やるのは、手順1で見つけた「いちばん怖い1行」だけを、AIの説明ではなく公式ドキュメントで確かめることです。AIは、コマンドの意味を「それらしく」間違えて説明することがあります。だから確認先はAI自身ではなく、そのソフトの公式サイト・公式ドキュメントにします。
- コマンド名やオプションで検索し、公式の説明と、AIの言っていることが一致するか見る
- バージョンが古くないか（AIは少し前の情報で答えることがあります）を、公式の最新ページで確認する
1行だけなら、5分で終わります。全部を疑うのではなく、一番危ない1行だけを裏取りする——これが現実的な落としどころです。
3. 本番で、一発目を打たない
これは技術というより、順番の話です。
AIが出した手順は、まず「壊れても困らない場所」で先に通します。本番のサーバーで一発目を試すのは、いちばんやってはいけないことです。
- 使い捨てのVPSを1台だけ借りて試す、あるいは手元のPCで動かす
- 本番と分けた検証用の環境で先に流す
「壊れても困らない場所」の作り方はステージング環境の作り方やDocker Composeで自己ホストを始めるにまとめています。AIの「動きました」は、あくまでAIの環境での話です。あなたの環境で、捨てられる場所で、もう一度動くことを自分の目で見てから本番に持っていきます。
4. 秘密情報がむき出し・認証オフになっていないか
AIが生成した設定でとても多いのが、この2つです。
- パスワードやAPIキーが、設定ファイルにそのまま書き込まれている（本来は分けて管理すべきもの）
- 「まず動かすため」に、認証やログインを一時的にオフにしたままになっている
どちらも、その場では動きます。でも公開したら、鍵をかけずに家を出るのと同じ状態になります。手順の中に、パスワードらしき文字列がベタ書きされていないか、「認証なし」「anonymous」「allow all」のような記述が残っていないかを確認してください。
秘密情報を安全に扱う正しいやり方は環境変数とシークレット管理で、公開前の最低限の締めはVPSを借りたら最初にやるセキュリティ設定で扱っています。
5. 別のAIに「これの危ない点は?」と聞く
最後は、AIの弱点をAIで補う手です。
同じ手順を、別のAI（あるいは新しい会話）に貼って、こう聞きます。
「このサーバー設定で、危険な点・本番に入れる前に直すべき点を挙げてください」
作った本人（最初のAI）は自分の答えを肯定しがちですが、役割を「粗探し」に変えて聞くと、最初の回答が見落とした穴が出てきます。人間のレビュアーがいない現場で、これはいちばん安く手に入る第三者チェックです。出てきた指摘を、手順1〜4の目でもう一度見直せば、確かめは十分です。
最後に:確かめ方を一つ持てば、それで足りる
AIを使うことは、手抜きではありません。確かめる手順を一つ持てば、それで足ります。
5つ全部を毎回きっちりやる必要もありません。せめて手順1の「消す・開ける・晒す」を探すクセだけつけておけば、大きな事故の芽は先に摘めます。「動いた」で止めず、本番に入れる前に一呼吸おく——それだけで、あなたが押すエンター キーは、ずっと安全なものになります。
その上で、扱っているのが止まったら困るシステムだったり、確かめても判断がつかない範囲だったりするなら、無理に一人で抱えず外部に確認を頼むのも、立派な選択です。どこまでを自分でやり、どこから任せるかの線引きはサーバー構築代行の相場と依頼前に確認すべき5点を一度読んでおくと、迷いません。
会議やベンダーとのやり取りで「これAIで作ったの? 大丈夫なの?」と聞かれたときの返し方は、会議で聞かれる20の質問と返し方も合わせてどうぞ。