6月25日、VMblogが「Spacelift Survey: 93% of Organizations Have Experienced AI-Caused Infrastructure Incidents as 'Vibe Coding' Spreads to Infrastructure」と題した記事を公開した。AIが生成したインフラコードのガバナンス不備が組織全体で深刻なインシデントを引き起こしている実態を調査データで示した「2026 State of Infrastructure Automation」レポートの内容を紹介するものだ。93%の組織がすでにAI起因のインフラ障害を経験しているという数字は、この問題が一部の先進的チームだけの話ではないことを端的に示している。
93%の組織がAI起因のインフラ障害を経験済み
レポートを発表したのはSpaceliftだ。TerraformやOpenTofuをはじめとするIaC（Infrastructure as Code）ツールのワークフローを管理・自動化するプラットフォームを提供する企業で、HashiCorpがTerraformのライセンスをBSLに変更して以降のオープンソースフォーク「OpenTofu」コミュニティとも関わりが深い。今回の調査は北米のITデシジョンメーカーおよびプラットフォームエンジニアリングリーダー406名を対象に実施されたものだ。
最も目を引くのは冒頭の数字である。93%の組織がAIに起因するインフラインシデントをすでに経験している。セキュリティの設定ミス、コンプライアンス違反、予期しない障害が「スケールして」発生しているという表現が使われており、散発的ではなく構造的な問題として位置づけられている。
SpaceliftのCo-founderでCEOのPaweł Hytry氏はこう述べている。
「調査結果は明確だ。組織はAIを使ってインフラコードを生成しているが、そのスピードはガバナンスフレームワークが想定したものをはるかに超えている。昨年は自動化の成熟度に過信があると指摘した。今年、その過信はガバナンスの領域に移っている。チームは自分たちのガバナンスを適切だと考えているが、インシデントのデータはまったく異なる状況を示している。」
「バイブコーディング」がインフラ層にまで波及
「バイブコーディング（Vibe Coding）」とは、AIが生成したコードを十分なレビューなしにそのまま使う開発スタイルを指す。もともとアプリケーションコードの文脈で語られることが多かったが、今回の調査はその波及範囲を定量的に示した。
- 開発者コードでのバイブコーディング率：79%
- IaC／HCLでの率：78%
- Policy as Codeでの率：78%
なお、HCL（HashiCorp Configuration Language）とはTerraformなどHashiCorpのツールで使われるインフラ定義言語であり、Policy as CodeとはOpen Policy Agent（OPA）などを用いてセキュリティポリシーやコンプライアンスルールをコードとして記述・管理する手法だ。どちらも本番インフラに直結する定義であり、アプリケーションコードとは異なる影響範囲を持つ。
3つの領域がほぼ横並びという事実は、インフラやポリシー定義においてもアプリケーションコードと同様に「雰囲気でAIに任せる」実態が広がっていることを示す。
さらに深刻なのは、インフラチームの33%がAI生成のHCLをレビューなしで本番環境に直接適用すると回答し、さらに43%は「最小限のレビューのみで適用する」と答えている点だ。合計すると76%がほぼ無審査で本番投入していることになる。クラウドリソースの構成や権限設定を記述するコードがレビューなしでデプロイされるリスクの大きさは言うまでもない。
ガバナンスへの「自信」と実態の乖離
調査は「ガバナンスのパラドックス」と呼ぶべき構造を浮き彫りにしている。
- **86%**のインフラリーダーが「自組織のAIガバナンス能力に自信がある」と回答
- しかし、正式なAIガバナンスポリシーを持つ組織はわずか30%
このギャップは「Exposed（脆弱）」と分類された組織で特に顕著だ。Exposedグループの70%がガバナンスへの自信を示す一方、正式ポリシーを持つのはわずか**4%**にとどまる。
Panterra Researchのマネージングディレクター、John Garrett氏はこう指摘する。
「昨年は自動化の成熟度を過大評価していた。今年は、ガバナンスの準備状況を過大評価している。際立っている組織は、AIを最も積極的に使っている組織ではない。AIがインフラに対する要求を劇的に高める前にガバナンスフレームワークを構築した組織だ。」
測定できていないから気づけない
ガバナンスの問題をさらに深刻にしているのが「計測の欠如」だ。
- AIが生成したIaCのパイプライン通過量を追跡している組織：わずか15%
- AIが生成した変更のエラー率を追跡している組織：わずか20%
Hytry氏は「AI特有のアウトプットを計測していなければ、暗闇の中で運用していることと同じだ」と述べている。チームのデプロイ頻度やリードタイムといった従来のDORAメトリクスは計測していても、AI固有のシグナルを収集していないケースが多い。問題の存在に気づけない状態が、93%という障害経験率の背景にある構造的要因の一つと言える。
組織の成熟度分類：AIマチュリティインデックス
今回の報告書では、406組織を「AIマチュリティインデックス（AIMI）」で4分類している。
| 分類 | 割合 | 特徴 |
|---|---|---|
| Pioneer | 19% | 正式ガバナンスを71%が施行済み。バイブコーディングも管理されたパイプライン内で実施 |
| Outpacing | 25% | AI採用は進むがガバナンスが追いついていない段階 |
| Fragmented | 32% | ガバナンスが断片的 |
| Exposed | 24% | ガバナンス自信度は高いが実態は最も脆弱 |
PioneerとExposedを比較すると、バイブコーディング率はPioneerの方が高い（86% vs 69%）。ただしPioneerはそれを自動バリデーションとポリシー適用が機能するパイプラインの中で行っている点が異なる。AIの活用度そのものではなく、ガバナンスの整備が成熟度を分ける決定的な要因であることをこの数字は示している。
レポートの全文はSpaceliftの公式サイトで公開されており、IaCカバレッジの優先化からエージェント型ガバナンスフレームワークの構築まで、5つの推奨事項が含まれている。
詳細はSpacelift Survey: 93% of Organizations Have Experienced AI-Caused Infrastructure Incidents as 'Vibe Coding' Spreads to Infrastructureを参照していただきたい。
