正解：イ
各選択肢の解説
ア同じ指示で何度か生成し直し、同じ名前が出てくれば実在するものと判断する。
誤り。同じ答えが繰り返されるのは再現性の話で、正しさの裏づけにはなりません。 ハルシネーションは同じ架空の名前を繰り返し出すことがあり、 それを見越して攻撃者がその名前を先に登録しておく手口があります。
イ配布元で公開者、公開時期、利用実績を確かめ、信頼できるものか判断する。
正解。AIはもっともらしい架空のライブラリ名を作り出すことがあり、その名前で 不正なものが登録されている場合があります。公開者や実績を配布元で確かめれば見分けられます。
ウリポジトリからインストールできれば実在するので、そのまま導入してよい。
誤り。公開リポジトリには誰でも登録できるので、インストールできることは 安全の証明になりません。AIが作り出した架空の名前で攻撃者が不正なライブラリを 登録していれば、インストールできてしまいます。
エウイルス対策ソフトで検出されなければ、安全なものとして導入してよい。
誤り。ウイルス対策ソフトは既知の特徴との照合が中心で、新しく作られた不正な ライブラリは検出されないことがあります。検出されないことは、 それが正規のものであることの確認にはなりません。
理解を深めるために
AIの「でっち上げ」が攻撃の入口になる
道案内のアプリが存在しない店の名前を示し、誰かがその名前で偽の店を開いて待ち構えていたら、 案内どおりに進んだ人ほどだまされます。 ハルシネーション（AIがもっともらしいが事実でない内容を出力すること）は、 文章の誤りにとどまらず、このように攻撃の入口になることがあります。
なぜ配布元で確かめるのか
生成AIにコードを書かせると、実在しないライブラリの名前が出てくることがあります。
- AIは、それらしい名前のライブラリを作り出して提案することがある
- 同じ架空の名前が繰り返し出ることがあり、攻撃者はその名前で不正なライブラリを先に登録できる
- 公開リポジトリは誰でも登録できるので、名前どおりのものがインストールできてしまう
そのため、AIが示した名前を信じるのではなく、配布元で公開者、公開された時期、 利用実績（ダウンロード数や更新の履歴）を確かめます。最近公開されたばかりで利用実績が乏しいものは、 導入を見合わせて確認を重ねます。
混同しやすいものとの違い
| 確かめ方 | 何が分かるか |
|---|---|
| 配布元で公開者・時期・実績を確かめる | 誰がいつ出した、使われているものか |
| 生成し直して同じ名前が出るか | AIの出力の再現性。実在や安全は分からない |
| インストールできるか | 登録されていること。誰が登録したかは分からない |
| ウイルス対策ソフトで検出されないか | 既知の特徴に当たらないこと。新しい不正は漏れうる |
試験では、確かめた結果が「AIの出力についての情報」か「ライブラリの出どころについての情報」かで 見分けると選べます。正しさの裏づけは、AIの外にある一次情報で取ります。