こんにちは、スネアクロス株式会社です。

弊社では、お客様のWebサイトの運用保守にAIを本格的に組み込んでいます。

今回は、その中から「本番サーバーの常駐監視・バックアップ体制を、設計から構築・テスト・ドキュメント作成まで、ほぼすべてAIにやらせた」事例をご紹介します。

対象は、ヘルスケア関連商品を扱うあるShopify製ECサイト＋WordPress。複数の制作会社・担当者が出入りして更新する、いわば「よくある中規模サイト」です。

抱えていた不安は、どこのサイトにもあるもの

このサイトには、運用上こんな不安がありました。

• ・いつのまにかページの内容が変わっていた。誰がやったのか分からない
• ・テスト環境で確認せず、いきなり本番が直接変更されていないか心配
• ・外部からの不正アクセスで、こっそりファイルを改ざんされていても気づけない

複数の業者が出入りするサイトでは、珍しい話ではありません。かといって、人間が24時間サーバーに張り付くわけにもいかない。そこで「機械に見張らせて、人間はメールを見るだけ」の体制を、AIに作らせることにしました。

AIが構築した「3つの目」

AIが設計・構築したのは、変化を3つの角度から同時に監視する仕組みです。

目その1: 操作ログ(誰が・いつ・何を)
WordPress管理画面での操作(記事の編集、設定変更、プラグインの追加など)を、操作履歴プラグインで自動記録します。

目その2: ファイル差分(どこが書き換わったか)
サイトを構成する約19,000ファイルをGitでスナップショット管理し、1時間ごとに前回との差分を検出。変化があればその場で担当者にメール通知が飛びます。

目その3: 改ざんチェック(正規品と一致しているか)
WordPress本体・プラグインを公式のチェックサム(いわば「製品の指紋」)と照合し、1文字でも書き換えられていれば検出します。

さらに毎週月曜の朝には、本番とテスト環境の1週間分の変化を1通にまとめた週次レポートが自動で届きます。テスト環境を「まとめ役」にして本番へSSH接続し、両環境の報告を統合する構成です。「テストに入った変更」と「本番に入った変更」を突き合わせることで、テストを経ずに本番へ直接入れられた変更も炙り出せます。

あわせて、WordPress外の資産(キャンペーンページやフォームなど)は、Gitリポジトリへ履歴付きでバックアップ。サーバーに万一のことがあっても、別の場所に控えが残ります。

全体像を図にすると、こうなります。

ここがAIらしい: 「謎の現象」を自力で切り分けた話

構築中、面白いトラブルがありました。設置した監視スクリプトが、約90秒で勝手に消えるのです。

原因は、レンタルサーバー標準の改ざん検知機能でした。公開ディレクトリへ移動する命令(ｃｄ)を含むシェルスクリプトをマルウェアと判定し、自動削除していたのです。

ここでAIがやったことは、人間のエンジニアの障害切り分けそのものでした。

1. ・ファイルシステムを確認し「同期遅延ではなく実際に削除されている」ことを特定
2. ・無害な検証用スクリプトを何パターンも設置し、どのキーワードが削除のトリガーかを総当たりで検証
3. ・「ｃｄ によるディレクトリ移動だけが削除トリガー」と断定
4. ・すべてのスクリプトを ｃｄ を使わない書き方(環境変数とオプション指定でパスを渡す方式)に書き換え、生存を確認

この一連の調査・実証・対策を、AIが自律的に実行しました。しかも顛末はすべて設計書の「作業記録」として文書化されているので、後から人間が検証・引き継ぎできます。

セキュリティ設計も「観測専用」に徹する

AI任せというと不安に思われるかもしれませんが、設計原則は明確に縛っています。

• ・監視の仕組み一式は公開エリアの外に置き、外部からアクセス不可(厳格なパーミッション設定)
• ・パスワード等の秘密情報はサーバーの外へ一切持ち出さない
• ・監視システムは観測専用。ファイルを書き戻す操作(復元・上書き)は一切行わない設計
• ・管理画面からのファイル編集は無効化し、業者ごとにアカウントを分離

「多くを見られるが、何も壊せない」仕組みにしておくことが、自動化を安心して回すコツです。

成果: 人間がやることは「メールを見るだけ」

現在この仕組みは全自動で稼働しており、運用担当者がやることは基本的に届いたメールを見るだけです。

• ・見覚えのある変更(自分たちの更新)なら、そのままでOK
• ・見覚えのない変化が届いたら、それが確認のサイン

そしてもう一つの成果はドキュメントです。

AIは構築と同時に、エンジニア向けの設計書(構成図・手順・設計判断の理由まで)と、専門知識のないお客様向けの「やさしいご説明」資料(用語集付き)の2種類を書き分けて納品しました。

属人化しない運用は、ここまで含めて初めて成立します。

おわりに

「AIに運用を任せる」というと大げさに聞こえますが、実際にやっているのは、実機を調査し、設計し、構築し、トラブルを切り分け、テストし、文書化するという、エンジニアの仕事の丁寧な再現です。人間(弊社エンジニア)は方針の決定とレビュー、そして届くレポートの確認に集中できます。

スネアクロスでは、こうしたAI活用を含むWebサイトの運用保守・計測分析基盤の構築を承っています。「うちのサイト、誰が何を変えたか分からない状態かも…」と思い当たった方は、お気軽にご相談ください。