シラバス: エンタープライズ Vibe エンジニアリング

1. プログラム概要
資格 Certified Vibe Engineer（3レベル、セクション6を参照）
期間 4ターム × 4週間 = プログラム全体で16週間（週あたり約10〜12時間）。モジュール単体での受講も可能
形式 コンセプト講義、AIペアリングラボ、レッドチームレビュー、Definition of Doneゲート
前提条件 AIツール（Claude Code、Cursor、Lovable、Replit、Bolt、v0など）でアプリを1つ以上リリースした経験があること。情報科学の学位は不要です。
リファレンススタック TypeScript、Next.js、Postgres（Supabase）、Redis、キュー、Docker、GitHub Actions、CloudflareまたはVercel、OpenTelemetry。コンセプトは特定のスタックに依存しません。

2. 対象者

  1. 創業者と事業運営者: AIで自らプロダクトを開発し、これから本物のお金や本物のデータを扱おうとしている方。
  2. プロダクト担当者とアナリスト: 開発に踏み出そうとしている方。
  3. ジュニアおよびミドルのエンジニア: コードを書くことよりもAIの出力をレビューすることが仕事になっている方。
  4. エンタープライズのチーム: AIコーディングツールを導入し、「本番対応」の共通基準を必要としているチーム。

3. プログラムの学習成果

修了時、受講者は次のことができるようになります:

  1. 仕様化する: AIが正しいものを作れるだけの明確さでシステムを定義する（仕様書、コンテキスト、ルールファイル、受け入れテスト）。
  2. 検証する: AIの言葉を鵜呑みにせず、AIが書いたコードをセキュリティ、正確性、パフォーマンスの基準に照らして検証する。
  3. セキュアにする: WebアプリケーションをOWASP Top 10:2025に対して、AIエージェントをOWASP Top 10 for Agentic Applications 2026に対して保護する。
  4. 障害を前提に設計する: タイムアウト、リトライ、idempotency、キュー、グレースフルデグラデーション。
  5. 適切にスケールする: 111のコンセプトのうち、今重要なものと時期尚早なものを見極める。
  6. 安全にリリースする: CI/CD、マイグレーション、feature flag、1分でのrollback。
  7. 運用する: SLO、アラート、インシデント対応、ポストモーテム、検証済みのバックアップ。
  8. 統制する: 企業や規制当局が求める監査証跡、データ保護、AIガバナンスの証拠を作成する（PDPA、IMDA Model AI Governance Framework for Agentic AI、SOC 2相当の統制）。

4. 教育手法: 4ステップのモジュール

すべてのモジュールは同じループで進みます。

  1. コンセプト（学ぶ）: なぜ必要なのか、何の障害を防ぐのか、実際のインシデント。
  2. ペア（作る）: 受講者は用意されたプロンプトを使い、AIに機能を作らせます。AIはジュニアエンジニアで、受講者はテックリードです。
  3. ブレイク（レッドチーム）: 受講者はチェックリストとツールを使い、自分の成果物を攻撃したり負荷をかけたりします。ほとんどのラボは、AIの素朴な出力がここで意図的に失敗するように設計されています。
  4. ゲート（証明する）: 客観的な証拠（テスト出力、スキャンレポート、ダッシュボードのスクリーンショット、リストアログ）を伴うDefinition of Done。証拠がなければ合格はありません。

原則: AIのコードには Trust, but verify（信頼せよ、されど検証せよ） では不十分です。基準は 検証してから信頼する です。

5. コースマップ

ターム1: 基礎（第1〜4週）

週 モジュール 中心となる問い ポスター項目
1 00 · オリエンテーション：Vibe Engineer のマインドセット + 01 · AI を活用したエンジニアリングワークフロー どうすればAIに正しいものを作らせ、それを証明できるか？ 6（導入）、108
2 02 · インターネットは実際どう動いているのか クリックからデータベースまでの間に何が起きているか？ 71、73、91〜94、97〜99
3 03 · データの基礎 100倍になってもデータは正確で高速なままか？ 25〜28、36、37、81、82
4 04 · API とコントラクト 他のシステムが安心して自分に依存できるか？ 14、100〜103

ターム2: セキュリティ（第5〜8週）

週 モジュール 中心となる問い ポスター項目
5〜6 05 · アプリケーションセキュリティ: OWASP Top 10:2025 誰が何をできるのか、そして攻撃者はその人になりすませるか？ 1、67〜80
7〜8 06 · AI とエージェントのセキュリティ 入力そのものが攻撃だったら何が起きるか？ （ポスター外）

ターム3: 信頼性とスケール（第9〜12週）

週 モジュール 中心となる問い ポスター項目
9 07 · レジリエンスパターン 依存先が遅い、または落ちているとき、システムはどう振る舞うか？ 10〜13、20、44、56、57
10 08 · 非同期処理、イベント、リアルタイム ユーザーを待たせずに時間のかかる処理を行うには？ 15〜19、21〜24、101
11 09 · パフォーマンスとスケーリング ボトルネックはどこか、そして最も安価な解決策は何か？ 2〜5、29〜31、45〜50、88〜90
12 10 · 分散システムの正しさ 2つのことが同時に起きると何がおかしくなるか？ 32〜43、95、96

ターム4: 本番運用（第13〜16週）

週 モジュール 中心となる問い ポスター項目
13 11 · リリース: CI/CD、サプライチェーン、インフラストラクチャ 1日10回リリースし、そのどれでも1分で元に戻せるか？ 6〜9、51〜55、104〜108
14 12 · オブザーバビリティと SRE 顧客に言われる前に、壊れていることに気づけるか？ 56〜66
15 13 · 災害復旧とインシデント管理 最悪の事態が起きたときの計画は何か？ 83〜87、109〜111
16 14 · コンプライアンス、ガバナンス、監査 + キャップストーン これらすべてを監査人に証明できるか？ （ポスター外）

6. 認定レベル

レベル 名称 要件 意味するもの
L1 Vibe Builder ターム1と2に合格し、アプリがProduction Readiness Checklistの「今すぐ」セクションを満たすこと 実際のユーザーとデータを安全に扱える
L2 Vibe Engineer ターム1〜3に合格し、アプリがターム3のカオスラボを耐え抜くこと 決済を受け付け、エージェントを安全に運用できる
L3 Enterprise Vibe Architect 全ターム + キャップストーンを審査員の前で発表・審査すること AIネイティブなチームを率い、ベンダーのセキュリティ審査に通過できる

7. 評価と採点

項目 配点 備考
モジュールゲート（Definition of Doneの証拠） 40% 項目ごとに合否で判定。モジュールに合格するには「必須」項目がすべて必要
レッドチームの発見ログ 15% 自分や他の受講者の成果物から見つけた脆弱性や障害モードの質
毎週のアーキテクチャ決定記録（ADR） 10% モジュールごとに、トレードオフを説明するADRを1件
インシデントシミュレーション（第15週） 10% 検知までの時間、コミュニケーション、ポストモーテムで評価
キャップストーンの構築 + 発表・審査 25% キャップストーンを参照

自動不合格の条件（全モジュール共通）: gitの履歴にシークレットがコミットされている。認証されていないユーザーがデータベースのテーブルにアクセスできる。エージェントが人の承認なしに取り消せない操作を実行できる。

8. 必要なツール（無料プランで問題ありません）

9. 週ごとのリズム（10〜12時間）

ブロック 時間
コンセプトの読解と講義 2
ペアラボ（AIと一緒に作る） 4〜5
レッドチームセッション 2
ゲートの証拠 + ADR 1〜2
コホートレビュー（他の受講者があなたの成果物を攻撃） 1

10. 学術的誠実性、AI時代版

AIの利用は必須であり、不正ではありません。ここで不正行為とみなされるのは検証されていない主張です。実行ログなしに「テスト合格」と提出すること、スキャンなしに「セキュア」と提出すること、リストアなしに「バックアップ済み」と提出することです。