結論から言います。
AIに指示するだけでホームページやアプリを作る「バイブコーディング」で作ったサイトは、そのまま公開すると、管理者用のパスワードが見えてしまうことがあります。
（ソースコードの中に書かれているので、分かる人にはわかってしまいます）
つまり、簡単にハッキングされてしまい、
・管理画面に侵入されてサイトを改ざんされたり
・アカウントを犯罪に使われて加害者にさせられてしまうケースもあります。
この記事は、AIを使って自分でホームページや申し込みフォームを作っている、またはこれから作ろうとしている個人事業主・サロンオーナー・治療家の方に向けて書いています。
先日参加したAIセキュリティの特別セミナーで、この事故が実際に起きる瞬間を目の前で見せてもらいました。
そこで知ったことと、公開前にできる対策をまとめます。
実演で見た、AIが勝手にパスワードを公開していた瞬間
ちょうど今、会員サイトと管理システムをバイブコーディングで作ろうと準備していたタイミングだったので、AIセキュリティの特別セミナーがあることを知って参加してみました。
講師は、セキュリティのお仕事をされているコンフィセック株式会社の大西健太さんと、脆弱性診断を専門とする株式会社ファインダーの白根さん・吉川さんの3名です。
セミナーでは、「初めてのバイブコーディングを紹介する講義のLPを作って」という、たった一つの指示だけでランディングページを作る実演がありました。
お問い合わせフォームと、申し込み内容を確認できる管理者ページ付きです。
見た目は普通に、ちゃんとしたページでした。
驚いたのはここからです。
講師の方がブラウザの「検証ツール」（開発者ツール）という機能を開き、ページの裏側でやり取りされている通信を見せてくれました。
これはweb制作に携わる人なら誰もが知っている機能。
「このwebサイトのソースを見たい」と思えば誰でも見ることができる場所です。
そこに格納されていたデータの中を「admin」「pass」といった単語で検索すると、実際の管理者パスワードがそのまま表示されたのです。
しかもそのパスワードを管理者ログイン画面に打ち込むと、本当にログインできてしまいました。
申し込んでくれた人の名前もメールアドレスも、フリースペースに書き込まれた内容まで、全部見られる状態。
削除もできてしまいます。
講師の方は
「わざと脆弱性を仕込んだわけではなく、AIに任せただけでこうなった」と説明していました。
AIは「動くもの」を作ることを優先する性質があるので、悪気なくこういう抜け穴を作ってしまうことがあるそうです。
他人事ではない。実際に世界で起きている事故
さらに衝撃だったのは、これが仮の話ではなく、すでに世の中で起きている事故だということでした。
2026年1月、AIエージェント同士がやり取りする実験的なSNS「Moltbook」で、データベースの設定不備によって150万件以上のAPIキーやメールアドレス、エージェント間のプライベートなメッセージが外部から閲覧できる状態になっていたことが発覚しています。
開発にはAIによるコーディングが多用されていたと報じられています。
（Wiz Blog: Hacking Moltbook）
もう一つ紹介されたのが、女性向けの安全確認アプリ「Tea」の事例です。
こちらはデータベースが誰でも閲覧できる状態で公開されていて、利用者の本人確認用の画像や、プライベートなメッセージまで見られる状態でした。
実際に集団訴訟にまで発展したことがNPRでも報じられています。
「良かれと思って作ったもの」が、確認を怠っただけでここまで大きな問題になる。
実際、セキュリティ企業Sonarが2026年に1,100人以上の開発者を対象に行った調査では、AIが書いたコードを完全には信頼していない人が96%いる一方で、公開前にきちんと検証している人はわずか48%だったという結果が出ています（Sonar公式プレスリリース）。
信頼していないのに、確認せずに公開してしまっている人が半分近くいる、ということです。
私も含めて、たぶん多くの人が同じ状態なんだろうな、と思いました。
なぜAIは、悪気なくこういう抜け穴を作ってしまうのか
AIは与えられた条件の中で「依頼を達成すること」を優先する性質があります。
多少セキュリティを犠牲にしてでも、とりあえず動くものを出そうとするそうです。
動くものは作られても、それが安全かどうかはまったく別の話、というのがセミナーで繰り返し語られていたポイントでした。
私はこれまで、AIに「作って」と頼んで、動けばそれで完成だと思っていました。
でも本当は、「動く」と「安全に動く」の間には、まだ距離があるんですよね。
個人事業主・サロンオーナーほど、実は狙われやすい
「うちは小さい会社だから、狙われないだろう」と思っていませんか？
実はそれ、逆かもしれません。
警察庁のデータをもとにした報道によると、令和7年のランサムウェア被害のうち、約6割が中小企業だったことがわかっています（マイナビニュース）。
大企業のように専任のセキュリティ担当がいないぶん、昔作ったまま忘れられているページや、確認されないまま公開された申し込みフォームが、そのまま狙われやすい状態になっているケースも多いそうです。
さらに、日本はもともとセキュリティ人材が不足しています。
NRIセキュアが日本・アメリカ・オーストラリアの企業を比較した調査では、日本企業の9割超が「セキュリティ人材が不足している」と回答した一方、米豪では「充足している」という回答が8割台後半に達していました（NRIセキュア公式ブログ）。
世界経済フォーラムの報告書でも、2030年に向けて重要性が増すスキルとして、サイバーセキュリティはAIに次ぐ急成長分野に挙げられています（World Economic Forum: Future of Jobs Report）。
つまり、AIによって誰でもホームページやアプリを「作れる」時代になった一方で、それを「安全に作れる・守れる」人は、まだまだ足りていない状況なんです。
今日からできる、公開前の5つの確認
非エンジニアがいきなり脆弱性を見抜けるようになるわけではありません。
まずは、公開前に立ち止まる習慣をつけることから始めてみてください。
- パスワードやAPIキーのような情報を、AIがコードの中にそのまま書いていないか
- 「検証せずに公開していないか」を一度自分に問う
- 可能であれば、コードが読める人に一度目を通してもらう
- IPA（情報処理推進機構）「安全なウェブサイトの作り方」に目を通しておく
- 総務省・経済産業省「AI事業者ガイドライン」で、AIを使う上でのリスク全体を把握しておく
もし今、AIでホームページやLP、お問い合わせフォームを作っている、あるいはこれから作ろうとしているなら、公開ボタンを押す前に、この5つを一度見直してみてください。
私自身も、今準備している申し込みページは、このチェックを済ませてから公開しようと思っています。
ちなみに、今回のセミナーを主催したのは株式会社ブレイク。
Mikkeのパートナー企業です。
まとめ
- AIで作ったホームページには、悪気なく管理者パスワードが書き込まれてしまうことがあります
- Moltbook・Teaアプリなど、実際に世界で起きている事故です
- 中小企業・個人事業主のほうが、むしろ狙われやすいというデータもあります
- 公開前に「検証したか」を一度自分に問うだけで、防げることがあります
AIのおかげで、ホームページやLPは自分でも一日で作れる時代になりました。
だからこそ、「作る力」と同じくらい「守る力」も大事にしていきたいと思っています。
次の一歩
「自分で作ったホームページ、このままで大丈夫かな」と不安に思ったら、一人で抱え込まずにご相談ください。
インスタグラム（Instagram）・LINE・ホームページをAIで整える方法を、公開前の確認も含めて一緒に整理します。
一度お気軽にお問い合わせください。
