AI生成コード時代のライセンス盲点 — バイブコーディングが生む見えない依存チェーン / Hidden Dependency Chains in AI-Assisted Development: A Case Study of AGPL License Contamination in Astronomical Software

要旨(Abstract) 日本語 AI によるコード生成(いわゆる「バイブコーディング」)は、ソフトウェア開発の参入障壁を劇的に下げた。しかし、生成されたコードが何に依存し、どのライセンスの影響下に入るかを開発者が認識しないまま配布・商用化に至るリスクが増大している。 本稿では、占星術ソフトウェア Stella.me OS の開発過程で実際に発見された AGPL ライセンス汚染事例を報告する。from flatlib.ephem import ephem という1行の import 文が、実行時に Swiss Ephemeris(AGPL)を引き込む依存チェーンを形成し、しかもそのファイルはプロジェクト内のどこからも呼び出されていないデッドコードであった。呼ばれていなくても、配布物に含まれているだけで AGPL 汚染リスクが存在する。この事例を起点に、バイブコーディング時代に特有の4つのライセンスリスクを体系化する。第一に、import 文という明示的な依存が「読まない時代」に不可視となる問題。第二に、AI が学習データから GPL/AGPL コードのパターンを再実装する「DNA 混入」の可能性。第三に、実行されないデッドコードが配布物に残存する問題。第四に、C バインディングを持つライブラリのインストール障害が AI の修復試行を通じてシステム破壊にエスカレートするリスクである。 さらに本稿は、AGPL と自己の Professional License のデュアルライセンスを採用するSwiss Ephemeris(占星術ソフトウェアで広く使われる天体暦エンジン)を例に取り、そのライセンス戦略を分析する。無料の AGPL 版はソースコード公開義務と引き換えにブランド露出に貢献させ、有料の Professional License は著者名の言及を禁止する——無料ユーザーが宣伝マンとなり、有料ユーザーが沈黙を強いられるという非対称構造が存在する。 また、AGPL 採用者の利用規約に AGPL と矛盾する条項(「複製・再配布の禁止」等)が含まれるケースや、AGPL 第13条(ネットワーク越しのソースコード提供義務)が広範に遵守されていない可能性を指摘する。本稿は Swiss Ephemeris を否定するものではなく、AGPL「関所モデル」に対する MIT エコシステムモデルという代替アーキテクチャの実現可能性を示すものである。「コードを書かなくていい時代」にこそ、「コードを読む能力」と「依存の意味を問う能力」の価値が高まるという逆説を提示する。 English AI-powered code generation (“vibe coding”) has dramatically lowered the barrier to software development. However, the risk is growing that developers distribute and commercialize generated code without recognizing what it depends on or which licenses govern it. This paper reports a real-world AGPL license contamination case discovered during the development of Stella.me OS, an astrological software system. A single import statement — from flatlib.ephem import ephem — formed a dependency chain that pulled in Swiss Ephemeris (AGPL) at runtime, despite the file containing it being dead code called from nowhere in the project. Even uncalled code creates AGPL contamination risk merely by being included in the distribution. Building on this case, the paper systematizes four license risks specific to the vibe coding era: (1) explicit import dependencies becoming invisible when developers don’t read code; (2) potential “DNA contamination” where AI reimplements GPL/AGPL code patterns from training data; (3) dead code persisting in distributions; and (4) C binding installation failures escalating to system destruction through AI’s repair attempts. Taking Swiss Ephemeris — an ephemeris engine widely used in astrological software that employs dual licensing between AGPL and its own Professional License — as a case study, the paper analyzes this licensing strategy. The free AGPL version requires source code disclosure while contributing to brand exposure; the paid Professional License prohibits mentioning the authors’ names — creating an asymmetric structure where free users serve as advertisers while paying users are silenced. The paper also identifies cases where AGPL adopters’ Terms of Service contain clauses contradicting AGPL (such as “reproduction and redistribution prohibited”), and notes that AGPL Section 13 (source code provision obligation for network services) appears to be widely non- compliant. This paper does not aim to discredit Swiss Ephemeris, but rather to demonstrate the feasibility of an MIT ecosystem model as an alternative to the AGPL “tollgate model.” It presents the paradox that in an era where “you don’t need to write code,” the value of “being able to read code” and “questioning what dependencies mean” increases.