AI 安全工具还是招聘开发人员？

急于引入SSO的团队，与没有足够时间检查已完成代码的团队，所需的投入并不相同。前者需要有人负责身份联接的设计、实现和维护。后者则在已有负责人的前提下，可以考虑用分析工具辅助审查。

身份认证工作不仅包括登录页面，还涵盖MFA、权限、密码重置、离职时停用访问权限，以及故障后的恢复。在安全与合规工作中，收集证据和审批例外并承担责任，也是两回事。

以停止离职员工的访问为例。根据Auth0的说明，通过SCIM禁用用户后，Auth0侧的会话会终止，刷新令牌也会失效。但应用侧的会话和已签发的访问令牌仍需另行确认。

不要仅以“SCIM 已成功”作为结束，还应在验收测试中检查：通过现有会话和令牌发起的访问，是否会在约定时间内被拒绝。我们在通过 MCP 将代码分析集成到开发环境时，也认为连接工具与对认证设计及变更审批承担责任是两回事。

假设完全依靠人工每月需要20小时，综合成本单价为每小时8,000日元，则每年为192万日元。如果AI辅助方案的初始费用为40万日元，每月费用为3万日元，剩余人工投入为每月12小时，那么首年成本为40万日元＋12×（3万日元＋9.6万日元），即191.2万日元。两者相差8,000日元。这些并非市场价格或实测值，而是用于说明比较方法的假设。

如果两个方案没有包含相同的设计、实现、验证和运维工作，这一差额就没有意义。还应列出数字中未计入的工作，例如招聘费用、培训和夜间响应等。尤其重要的是，不要将核实工具所指出问题的时间视为零。

如果没有人负责身份认证的设计与维护，应优先考虑招聘，或将职责分配给现有成员。如果已有负责人，但审查工作积压，则可在同一个已获授权的修订版本上试用工具，衡量核实所需的时间，以及工具指出的问题中哪些真正促成了修复。

决策者应保留的核心问题，与其说是“能替代多少人”，不如说是“能加快哪些工作，剩余工作由谁承担”。从限定范围开始，并将漏检和运维负担也纳入判断，可能更为妥当。