コードを読まないと品質は保証できない？ホワイトボックスとブラックボックステストの使い分け

June 5, 2026

「コードを1行ずつ読むのが品質保証」って本当？

「AI生成コードをそのまま使うなんて、コードを読まないで品質保証できるのか」という意見と、「品質保証はテストでやるもの。コードを1行ずつ読むことが品質保証ではない」という意見。エンジニアの間でこの議論が盛り上がっています。

どちらも一理あります。ただ、この議論の背景には「ホワイトボックステスト」と「ブラックボックステスト」の違いと使い分けが整理されていない問題があります。本記事では、この2つのテスト手法の違いを整理し、AI時代にどう使い分けるべきかを考えます。

ホワイトボックステストとブラックボックステストの違い

まず定義を明確にしましょう。

【ホワイトボックステスト】
コードの中身を見て、内部構造に基づいてテストする
→ 「この条件分岐を通るケース」「このループの境界値」をテストする
→ コードを読まないとテストケースが作れない

【ブラックボックステスト】
コードの中身を見ずに、仕様に基づいてテストする
→ 「この入力に対してこの出力が返る」をテストする
→ コードを読まなくてもテストケースが作れる

項目	ホワイトボックス	ブラックボックス
テストの基準	コードの内部構造	仕様・要件
コードを読む必要	あり	なし
検出しやすいバグ	条件分岐の漏れ、デッドコード、内部ロジックの誤り	仕様との不一致、境界値の誤り、想定外の入出力
検出しにくいバグ	仕様自体の誤り（コード通りに動くが要件を満たさない）	内部の副作用、パフォーマンス問題、セキュリティホール
テスト作成者	開発者自身が多い	QAや別のエンジニアでも可

ポイントは、どちらかが上位互換ではないということ。それぞれ検出できるバグの種類が違います。

AI時代にこの議論が再燃する理由

この議論が今まさに盛り上がっている背景には、AIがコードを書く時代になったことで「コードを読むコスト」の捉え方が変わったことがあります。

「読まない」派の主張

AI生成コードの量が膨大で、全行読むのは現実的ではない
仕様を満たしているかはテストで確認できる。テストが通れば品質は保証される
人間がコードを読んでも見落とすバグはある。テストの方が再現可能で信頼性が高い

「読むべき」派の主張

AIは副作用のないコードを書く保証がない。ブラックボックスでは網羅しきれない範囲が広すぎる
セキュリティホール（SQLインジェクション、認証バイパス等）はブラックボックステストでは見つけにくい
コードの構造を理解していないと、将来の変更時にデグレを起こすリスクがある

どちらの主張にも正当性があります。問題は「コードを読むか読まないか」の二択ではなく、「どの範囲で、どの手法を使うか」の設計です。

結局どう使い分ける？

ブラックボックスで十分なケース

仕様が明確で、入出力が定義できる：「この入力に対してこの出力」が決まっている関数やAPIエンドポイント
モジュールが適切に分割されている：各モジュールの責務が明確で、インターフェースが安定している
既にテストカバレッジが十分にある：正常系・異常系・境界値をカバーしたテストスイートがある

ホワイトボックス（コードレビュー）が必要なケース

セキュリティに関わるコード：認証・認可、暗号化、入力バリデーション。ブラックボックスだけでは「動くけど安全でない」コードを見逃す
パフォーマンスに影響するコード：N+1クエリ、不要なループ、メモリリーク。テストが通っても本番で遅い、というパターン
副作用を持つコード：外部APIの呼び出し、ファイル操作、DB書き込み。意図しない副作用はブラックボックスでは気づきにくい
AI生成コードの初回導入時：AIが書いたコードの品質傾向を把握するために、最初は読んでパターンを掴む

実務での現実的なアプローチ

すべてのコードを同じ密度でレビューする必要はありません。リスクベースでメリハリをつけるのが現実的です。

【リスクベースの使い分け】

高リスク（認証・決済・データ削除）
  → ホワイトボックス（コードレビュー）+ ブラックボックス（テスト）
  → 両方やる

中リスク（ビジネスロジック・API）
  → ブラックボックス（テスト）を厚くする
  → コードレビューはポイントを絞る

低リスク（UI表示・文言変更）
  → ブラックボックス（テスト）で十分
  → コードレビューは軽めでOK

AI時代のポイントは、「コードを全行読む」のではなく「読むべきコードを選ぶ」こと。そして、ブラックボックステストで検出できない領域（セキュリティ、パフォーマンス、副作用）を意識的にカバーする仕組みを持つこと。静的解析ツール（PHPStan、ESLint等）やAIレビュー（Claude Codeの/code-review等）を組み合わせれば、人間がすべてを読まなくてもカバレッジを上げられます。