AIが生成したコードと人間が書いたコード：実際のウェブサイト上でその違いがどのように現れるか.

AIが生成したコードと人間が書いたコードの違いは何でしょうか?

唯一確実に区別できる点は、作成者です。一方はモデルがプロンプトに基づいて作成し、もう一方は人間が作成しました。ページのソースコードを見ると、HTML、CSS、JavaScript、それにレスポンスヘッダーが見つかります。執筆者の名前はありません。透かしもありません。ブラウザも、あなた自身も、誰が作ったのかは見分けられません。（見分けがつきそうなページで試してみてください。結局は推測になるでしょう。）

出力そのものは評価できます。レンダリングモデル、スクリプトの重み付け、見出しの順序、構造化データ、レスポンスヘッダーなどです。これらはすべて、確認できる判断にさかのぼれます。モデルはプロンプトに基づいて判断し、人はプロジェクトに基づいて判断します。どちらの判断にも、良いものと悪いものがあります。どちらの結果になったかは、そのページに表れています。

次のセクションの調査結果を読むときは、それぞれがご自身のページにとって何を意味するのか考えてみてください。プルリクエストの欠陥率はリポジトリの数字であり、ご自身のサイトの数字ではありません。ホームページにヘッダーがなければ、それはご自身のサイトの問題であり、修正できます。無料の診断を実行して、ご自身のページの状態を確認してください。

AIが生成したコードの品質と安全性について、研究ではどのようなことが示されているのでしょうか?

見つかる研究の多くは、AIが書いたコードには人間が書いたコードより欠陥やセキュリティ上の問題が多いとしていますが、差の大きさは研究ごとに違います。CodeRabbitが470件のオープンソースのプルリクエストを調べたところ、1件あたりの不具合はAIが書いたコードで10.83件、人間が書いたコードで6.45件でした。AIコードの方が1.7倍多い計算です。同社の表では、クロスサイトスクリプティング（XSS）の脆弱性は2.74倍でした。

Veracodeが2025年に100以上のLLMを対象に行った調査では、全体の脆弱性率は45％でした。クロスサイトスクリプティング（XSS）に関しては、不適合率が86％に達しています。その後Tenzaiが、Cursor、Claude Code、Replit、Devin、OpenAI Codexの5つのツールで作られた15のアプリケーションをテストしたところ、いずれもCSRF対策が実装されておらず、セキュリティヘッダーも設定されていませんでした。5つのツールに共通する盲点が1つあったことになります。

結果がすべて同じ方向を示しているわけではありません。GitHubの公開リポジトリを対象にした分析では、AIが生成したコードの87.9％に、CWEにマッピングされた特定可能な脆弱性は見られませんでした。arXivに掲載された研究では、人間が書いたコードの方が重複率が高く、18.69％に対して25.89％でした。これらはリポジトリに関するリスクの兆候として受け止めてください。あなたのサイトへの断定的な評価ではなく、リポジトリは単一のページでもありません。

AIが作成したコードは、実際にページとして公開されるとどのような形になるのでしょうか?

本番環境に公開されたAIが生成したコードは、ビルドによってブラウザに送られたもの、つまりレンダリングモデル、スクリプト、ヘッダー、マークアップそのものです。ホームページを開いて、レスポンスヘッダーを確認してください（ブラウザの「ネットワーク」タブで見られます）。Tenzaiのテストでは、15のアプリケーションのうちセキュリティヘッダーを設定していたものは1つもありませんでした。ご自身のアプリケーションはどうか、確認してください。

調査結果からは分かりませんが、ご自身のページなら確認できます。ソースを開いて、コンテンツがHTMLに含まれているのか、スクリプトの実行後に表示されるだけなのかを見てください。スクリプトと画像の容量も比べてください。見出しの順序を確認し、構造化データがないか探したうえで、robots.txtを開き、クローラーが何を取得できるかを確認します。どれもログインは必要ありません。

この評価では、チェックした指標について、ホームページと最大8つのサンプルページを分析します。リポジトリの中身は見えないため、重複したロジックや架空のパッケージは把握できません。把握できるのは、実際に公開された内容、つまり訪問者が目にする部分です。それ以外はリポジトリの中にあり、外からは確認できません。

そのサイトがAIによって作成されたものかどうかは、外見から判断できますか?

いいえ、外見から確実に判断することはできません。公開されたサイトを見ても分かるのはページの内容だけで、誰が作ったかは分かりません。ページのソースを開けば、ヘッダーが簡素すぎる、スクリプトのバンドルが重い、構造化データがないといったパターンは探せます。ただ、人間が急いで作った場合にも同じ痕跡は残ります。こうしたパターンだけでは、誰がコードを書いたかは何も証明できません。

作成者の証拠は、ブラウザのタブではなくリポジトリに残ります。GitClearの2026年レポートによると、コピー＆ペーストされたコードの割合は、2022年には新規コードの9.4％でしたが、2026年上半期には15.7％に増えました。ご自身の新規コードのうち、コピー＆ペーストした部分がどのくらいか、数えてみてください。arXivの研究では、30日および90日以内の再投稿を追跡しています。どちらもコミット履歴がなければ確認できません（コミット履歴は、ブラウザには決して送られない唯一のものです）。そこがご自身の死角になります。

あるツールが「公開中のページからAIが書いたかどうかを検出できる」とうたっているなら、疑ってかかったほうがよいでしょう。代わりに、レンダリングモデル、ヘッダー、マークアップ、クローラーのアクセス状況を評価し、誰がコードを書いたかに関わらず、その結果をそのまま受け止めてください。無料の評価ツールは、ご自身のサイトを実際に読み込み、公開されている内容を表示します。作成者の推測より、証拠の方が説得力があります。

ページが正常に動作するのなら、誰がコードを書いたかは重要でしょうか?

「動作する」が「読み込まれる」以上の意味なら、そのようなサイトはそれほど多くありません。訪問者やクローラーが見るのは、ページが実際に何を提供しているかであり、誰が作ったかではありません。ブラウザ上では正常に表示されていても、セキュリティヘッダーがない、コンテンツがスクリプトの背後に隠れている、robots.txtでクローラーをブロックしているといったケースは、想像以上によくあります。サイトを「完成」とする前に、ヘッダー、スクリプト、robots.txtを必ず確認してください。

今後は作成者の役割が重要になりますので、ご自身のレビューの習慣をこれらの数値と照らし合わせてみてください。Stack Overflowの「2025年開発者調査」によると、AIツールの精度に対する信頼度は43％から33％に下がりました。皆様の信頼度も下がっているかもしれません。Second Talentの報告では、開発者の71％は手動レビューなしにAIが生成したコードをマージせず、66％は「ほぼ正しい」出力の修正に余分な時間を費やしています。皆様も同じようにレビューしていますか？LeadDevは、GoogleのDORAレポートを引用して、AIの使用率が25％増えるごとに不安定性が7.2％増えると述べています。ご自身のコードも確認してみてください。AIが生成したコードを、目を通さずにマージしていませんか？

訪問者やクローラーに見えるのはページだけで、作成者は見えません。ただ、コードがなぜそう動くのかを説明できなければ、次の変更を信頼できません。ページが正常に動いているのが運任せなら、その運もいつか尽きます（たいていはデプロイ当日です）。無料の診断をサイトに実行して、訪問者にどんなページが配信されているかを確認してください。

AIが作成したコードをリリースする前に、どのような点を確認すべきでしょうか?

SiteGroundのチェックリストの主な項目、つまり変更範囲、無関係な編集、重複したロジック、新たな依存関係、変更内容を説明できるかどうかを、ご自身のdiffと照らし合わせてください。そのうえで判断します。変更をそのまま残すか、リファクタリングするか、元に戻すか、上層部に報告するかを決めてください。まずテストを実行してください。SpecStoryによると、エージェントがテストを編集してテストスイートを通してしまうことがあるため（本当です）、テストが「グリーン」で通っても、思われているほど信頼できません。

Real Pythonの5ステップワークフローに従って、リンター、型チェッカー、セキュリティスキャナー、テストを実行してください。そのあと、差分ファイル内のすべてのメソッドとインポートが存在すること、追加した依存関係がすべて実際に公開されているパッケージであることを確認してください。架空のAPIやパッケージは一見問題なく見えるため、目視では見逃します。ただ、インストール時には失敗するので、AIによる失敗の典型例です。

Vibe Coder Blogによると、Veracodeが報告した45％という脆弱性の割合は、体系的なレビュープロセスを適用すると10％未満に下がるそうです。これは二次情報に基づく主張で、チームへの保証ではありません。また、コードレビューでは、サイトがブラウザに送った内容までは把握できません。ページは「パブリックリード」で検証してください。

誰が書いたかに関係なく、サイトの状態を確認するにはどうすればよいでしょうか?

サイトのURLで無料診断を実行すると、コードを書いたのが誰であっても、100点満点のスコアが表示されます。診断では、トップページと最大8ページのサンプルページを分析します。メールアドレスと職場のメールアドレスを入力してください。レポートへのリンクは、約2分後に1回だけ送られます。1回の接続につき1時間に3回までチェックを実行できるので、修正後の再チェックもできます。

スコアは、次の8つの柱で算出します。運用健全性 16％、アーキテクチャ 15％、パフォーマンス 15％、セキュリティ 12％、検索 12％、スキーマ 10％、AI対応度 10％、編集体験 10％。各評価項目には根拠となるデータが付いているので、ページ内のどのヘッダー、スクリプト、見出しがそのスコアになったのかを確認できます。

各バンドは、現在の状況を表します。80～100は「良好」、60～79は「制約あり」、40～59は「リスクあり」、0～39は「レガシー状態」です。この評価は、サイトへのログイン、アナリティクスの確認、現場のパフォーマンスデータの利用、インタビューを行いません。評価するのはページそのもので、作成者は対象外です。AIツールが作ったサイトでも、すべての行を自分で入力したサイトでも、同じ評価になります（優遇もペナルティもありません）。

よくある質問.

自分のサイトを確認する.

1. 01ウェブサイト修復ダウン、ハッキング、故障：何が残り、何を作り直すか。
2. 02ウェブサイトのヘルスチェック全体的な診断、8つの柱すべて。
3. 03Next.js SEO監査レンダリングモード、メタデータ、ハイドレーションコスト。

その他の記事： What Ships.

1. 01誰もが犯しがちなミスを避けながら、AIを活用してウェブサイトを構築する方法。ガイド · 2026-10-25
2. 02バイブコーディングのセキュリティ：公開済みのAI製サイトが何を漏らしているか、外部からどう確認するか。セキュリティ · 2026-10-25
3. 03Claudeでウェブサイトを作る：得られるものと、公開前に確認すべきこと。Claude · 2026-10-25