AIに指示を出すだけでアプリが作れる時代になりました。
いわゆる「バイブコーディング」です。
しかし、動くことと、安全に動くことは別の話です。
この記事では、AIに作らせたアプリで実際に見つかった、非公開のはずの投稿が誰でも見られる状態になっていた実体験と、公開前に自分で試せるチェック方法をお伝えします。
結論から書きます。
先に結論
「非公開」と画面に表示されていても、実際に非公開になっているとは限りません。
見た目の表示を信じるのではなく、ログアウトした状態や別のアカウントから、実際にアクセスして確かめる。それだけで気づける問題があります。
Webマーケティングに26年携わり（フリー歴15年）これまで700名以上のクライアント様を支援してきました。
AIに指示しただけで、社内SNSが動いた
先日、AI開発とセキュリティを学ぶ1日講座に参加しました。
やったことは、AIに次のように指示を出すだけです。
社内用SNSを作りたいです（X風のデザイン）。DBは●●●、フロントはとバックエンドは▲▲▲で。アカウント作成・ログイン・フォロー・ブロック・鍵アカウント・投稿・リプライの機能をつけてください。
これだけの指示で、10分ほどでアプリが完成しました。
使ってみたところ、ログイン画面からアカウントが作れて、投稿ができて、鍵アカウントにすればフォローしていない人には投稿が見えなくなる。
（サンプルデータを使いました）
画面を操作する限り、何の問題もないように見えました。
「動く」と「安全に動く」は別の話
講師の方はここで、こう説明していました。
動くものができても、認証・認可や例外的なアクセスまで安全とは限らない。
認証（誰なのかを確認すること）・認可（その人がその情報を見てよいか確認すること）の実装を、AIが一部の経路で漏らしてしまうことがあるそうです。要件を誤解してしまうこともあります。
たとえば「非公開アカウントの投稿は隠す」という要件があったとします。
画面から普通に操作している分には、その通りに動きます。
しかし、想定していなかった呼び出し方をされたときに、対処が抜けていることがあります。
自分のアプリをハッキングしてみた結果
午後は、自分が作ったアプリを自分で攻撃してみる時間でした。
まず画面を操作して確認します。
鍵アカウントを1つ作って、投稿もしました。
別のアカウントからそのページを開くと、ちゃんと「このアカウントは非公開です」と表示されます。
ここまでは、正常です。
次に、ログアウトした状態のまま、その投稿1件だけを表示する特殊なURLに書き換えてアクセスしてみました。
実際に起きたこと
結果、非公開のはずの投稿が、そのまま表示されました。
ログインもしていない、フォローも承認されていない状態でです。
画面の操作だけを見ていたら、絶対に気づけなかったと思います。
「非公開です」という表示を信じてしまうからです。
非エンジニアでもできる最初の3チェック
非エンジニアがいきなり脆弱性を見抜けるようになるわけではありません。
次の3つは特別な知識がなくても試せますが、あくまで最初の一歩です。この3つだけで安全性を保証できるわけではありません。
step
1「非公開」「ログイン必須」といった表示を、画面の操作だけで信じない。別のアカウント・ログアウトした状態など、複数のパターンで実際に確認する。
step
2個別のページに直接アクセスできるURLを、ログアウトした状態でも試す。一覧画面では見えなくても、直接のURLからは見えてしまうことがある。
step
3AIにコードのセキュリティチェックを依頼する。たとえばClaude Codeには`/security-review`という、コードのセキュリティ上の問題点をAIに洗い出してもらうコマンドが用意されています。ただし、AIのレビューだけで安全性が保証されるわけではありません。指摘されなかった箇所に問題がないとは限らないため、最終的な確認は人の目で行う必要があります。
個人情報や決済情報など、重要な情報を扱う公開サービスの場合は、この3つだけで判断せず、専門家によるセキュリティ診断もあわせて検討してください。
この3つを試すだけでも、画面の見た目だけでは気づけない問題に気づけることがあります。
まとめ｜「非公開」の表示を信じず、公開前に実際にアクセスして確認する
この記事のポイント
- 動くものができても、認証・認可や例外的なアクセスまで安全とは限らない
- 「非公開」の表示があっても、実際に非公開になっているとは限らない
- 公開前に、ログアウトした状態や別のアカウントから、実際にアクセスして確認する
AIで自社のホームページやツールを作る動きは、今後ますます増えていきます。
こんな段階からご相談いただけます
「AIで何か作ってみたけれど、これで公開して大丈夫か不安」
Mikkeでは、AIを使った集客の仕組みづくりを支援する中で、こうした基本的なチェックの考え方もあわせてお伝えしています。
AIで作ったアプリの安全確認でよくある質問
Q. エンジニアではないのですが、自分でセキュリティチェックはできますか。
完璧なチェックは難しいですが、この記事で紹介した3つのポイントは特別な知識がなくても試せます。
「表示を信じずに、実際にアクセスして確かめる」というだけでも、気づけることがあります。
Q. AIにセキュリティチェックを頼むだけで十分ですか。
Claude Codeの`/security-review`のような機能を使うと、AIに自分のコードの問題点を洗い出してもらうことができます。
ただし、AIのチェック結果も、最終的には人が内容を確認する必要があります。指摘されなかった箇所に問題がないとは限りません。
Q. すでに公開してしまっているアプリやLPはどうすればいいですか。
まずは今回紹介した3つのチェックを試してみてください。
該当する箇所が見つかった場合は、早めに対応することをおすすめします。
Q. どこまで対策すればきりがない気がします。
その通りで、セキュリティは完璧を目指すとゴールがありません。
まずは「非公開」「ログイン必須」と表示している箇所を優先的に確認する、というように範囲を絞ることが実務的です。
あわせて読みたい：
- AIで作ったホームページ、そのまま公開しないで：別のセミナーで見つかった「管理者パスワードが漏れる」事故の実演はこちら
