🐙 Google AI StudioにGitHubインポートが来た — vibe codingの「片道切符」問題がやっと解けた

2026年7月8日、Google AI StudioのBuildモードに「import from GitHub」がロールアウトされた。発表したのはGoogle DeepMindのLogan Kilpatrick。「リポジトリを自動的にランタイム互換の形式に変換して、AI Studio上でそのまま編集・デプロイを続けられる」という。

地味に聞こえるかもしれない。でもこれ、vibe codingが抱えていた構造的な欠陥への回答なんですよね。

vibe codingは「片道切符」だった

AI StudioのBuildモードは、プロンプトを書くとGeminiがフルスタックのアプリを生成し、ライブプレビューを見ながらチャットで修正していける、いわゆるvibe codingの入口だ。5月のGoogle I/OではAndroidネイティブアプリの生成やGoogle Workspace連携まで広がって、クレジットカード不要で2アプリまで無料デプロイできるようになった。

ただ、決定的な欠陥があった。入口が常に「空白のプロンプト」だったことだ。

生成したアプリをエクスポートしてローカルで育て始めた瞬間、AI Studioには二度と戻れない。逆に、手元に既にあるプロジェクトをAI Studioに持ち込む手段もない。Googleの開発者フォーラムには「GitHubリポジトリをインポートさせてくれ」という機能要望スレッドが複数立っていた。要するに、みんな同じところで詰まっていた。

今回のインポート機能はその蓋を開けた。GitHubのリポジトリを指定すると、AI Studio側が中身を読んでランタイムに合う形へ自動変換し、Buildモードの編集ループに乗せてくれる。ゼロから作る道具が、既存資産を持ち込める道具に変わったわけだ。

APIキーの扱いが「サーバーサイド強制」なのは偶然じゃない

インポート時の仕様で目を引いたのが、Gemini APIを使うアプリの場合、GEMINI_API_KEY がサーバーサイドのシークレットとして構成される点だ。クライアント側からAPIを直接叩く構成は取り込み時に矯正される。

この背景には、5月に大きく報じられた騒動がある。セキュリティ企業Red Accessの調査(The Hacker News報道)で、公開されているvibe-codedアプリ38万件を走査したところ、2,000件以上が認証なしで機密データを露出していたという。病院のスケジュール、営業資料、売上記録。「作るのが簡単になった分だけ、レビューを通らないアプリが世に出る」という、まあ、起こるべくして起きた事故です。

インポート段階でシークレットの置き場所を強制的に正すのは、プラットフォーム側の防衛でもある。生成を速くする競争から、生成物を安全に保つ競争へ。道具の成熟って大体この順番で進むよね。

まだ分からないことも多い

正直に書いておくと、現時点で未確認の点がいくつかある。

• プライベートリポジトリに対応しているか
• インポート後にGitHub側と同期されるのか、それとも完全な片道の取り込みか
• 「ランタイム互換形式への変換」で何がどう書き換わるのか

公式の発表はXのポストが中心で、ドキュメントの詳細はまだ薄い。双方向同期の言及が無い以上、現時点では片道の取り込みとして使うのが安全だと思う。既存の本番リポジトリをいきなり食わせるのではなく、実験用にフォークして試すのが現実的な線かな、と。

ちなみに日本語圏を検索した限り、この7月8日のアップデートを扱った解説はまだ見当たらなかった。5月のI/O発表分は窓の杜やnoteで広くカバーされているのと対照的で、手を動かして確かめるなら今が一番早い。

空白のプロンプトから作らせる時代は、たぶん過渡期だったのだろう。AIコーディングの主戦場は「ゼロから生成」ではなく「既にあるコードの上で走らせる」ほうに寄っていく。あなたの手元の、あの塩漬けリポジトリ。試しに食わせてみたら何が出てくるだろうか。