セキュリティ診断 · AI で作ったアプリ
AI生成コード・AIで作ったアプリのセキュリティ診断
Claude Code・Cursor・Lovable・Bolt・v0・Replit などで作ったアプリを、コードが読めない持ち主の代わりに確かめます。AI は実装を速くしてくれます。ただ「誰がどのデータを見てよいか」は、あなたの事業の決まりであって、コード生成だけでは決まりません。そこを照合するのが人の仕事です。
料金: 公開前ライト診断 ¥29,800〜 / スポット診断 ¥98,000〜 / 標準監査 ¥280,000〜 / 伴走・修正実装 ¥680,000〜
AI を使ったこと自体は問題ではありません。 見るのは作り方ではなく、アプリが他人のデータやお金を安全に扱えるかどうかです。「完全に安全」とも言いません。
見るところ
何を確かめるか
コードの中に答えがある問題と、あなたの事業の決まりと照らさないと分からない問題の、両方を見ます。
公開してはいけない致命的な穴
- 他人のデータが見える・書き換えられる（所有者チェックの欠落、RLS の未設定や条件の誤り）
- 鍵の露出（ブラウザに配られるコードに入った API キーやサービスロールキー）
- 決済の二重処理・Webhook の未検証
- 管理画面がログインだけで開ける
コード生成では決まらないこと
- 誰がどのデータを見てよいか（利用者・管理者・別の会社）
- 退会や削除のとき、データがどこまで消えるか
- ファイルや画像を誰に公開するか
- 無料プランと有料プランの境目が、画面ではなくサーバーで守られているか
頼む時期
いちばん安く効くのは、本物のデータを入れる前
公開前・ユーザーが数人のうち
公開前ライト診断で、致命的な穴の有無だけを先に判定します。
決済やファイルアップロードを足す前
お金とファイルは、穴があったときの被害が大きく、後から直すほど高くつきます。
法人に売る前
相手のセキュリティ担当からの質問に、根拠を示して答えられる状態にします。
やらないこと・限界
- 「AI で作ったから危ない」という前提では見ません。手書きのコードと同じ基準で確かめます。
- 公開前ライト診断は致命的な穴の有無の判定に絞ったものです。網羅的な監査ではありません。
- 鍵の値や本物の顧客データを渡していただく必要はありません。
担当者
誰が見るのか
監査を承るのは 友田 陽大（フリーランスのフルスタックエンジニア）です。肩書きではなく、公開している調査・ツール・実績で判断してください。
Supabase RLS の実地調査（公開リポジトリ1,000件）
公開リポジトリを静的解析し、RLS を設定済みの994件のうち9.2%（91件）に「ログインは確かめるが、行を持ち主で絞らない」ポリシーがあることを、該当する235件をすべて手で確かめたうえで公開しました。
OSS のセキュリティツールキット Aegis
Next.js / Supabase 向けのスキャナと防御の部品を MIT ライセンスで公開しています。監査で使う自動検出の一部は、誰でも手元で試せます。
経済産業大臣賞の B2B SaaS（木材流通）
単独開発全221APIの認証欠落0件を、4ラウンドの自主セキュリティ監査（静的監査→ライブ診断→ペネトレーション）で実証し、テナントをまたぐ個人情報の漏洩などの重大な指摘をすべて修正しました。
放送事業者の社内AI基盤
チーム開発個人情報の暗号化保存・監査ログ・WAF・鍵を置かない CI/CD を、後付けではなく初期設計から組み込みました。
料金
料金の目安
まず公開前ライト診断で致命的な穴の有無を判定し、必要なら診断・監査・修正の実装へ進みます。表示額は税別の「から」の目安です。
公開前ライト診断
まだ公開していない／ユーザーが数人。公開前に、まず明らかな穴だけ潰しておきたい
期間: 約3営業日
¥29,800〜税別
スポット診断
リリース前に「今の脆弱性の全体像」を正確に把握したい
期間: 約1週間
¥98,000〜税別
標準監査
B2B・マルチテナント SaaS を安全に出荷／運用したい
期間: 約2〜3週間
¥280,000〜税別
伴走・修正実装
検出だけでなく「実際に直って、再発しない状態」まで到達したい
期間: 規模に応じて（数週間〜）
¥680,000〜規模により要見積もり
どのプランも、見つかった問題を Claude Code や Cursor にそのまま渡せる修正指示の形でお渡しします。修正を任せたい場合は伴走・修正実装のプランです。
よくある質問
コードが読めなくても頼めますか？
はい。レポートは専門用語に言い換えを添えて書き、見つかった問題は Claude Code や Cursor にそのまま貼れる修正指示の形でお渡しします。30分の説明通話で、何が危なくて何が大丈夫かを口頭でも説明します。
Claude Code の /security-review を実行すれば十分ですか？
鍵の書き込みや典型的な注入のように、答えがコードの中にある問題を見つけるのには役立ちます。ただ「利用者Aが利用者Bのデータを見てよいか」の正解はコードに書かれておらず、あなたの事業の決まりの中にあります。そこを照合するのが人の診断の役割です。
RLS を全部のテーブルで有効にしました。それでも診断は必要ですか？
有効なことと、条件が正しいことは別です。筆者が公開リポジトリ1,000件を静的解析した一次調査では、RLS を設定済みの994件のうち9.2%（91件）が、「ログインしているかは確かめるが、行を持ち主で絞らない」ポリシーを含んでいました。それが意図どおり（全員に見せてよいデータ）か穴かは、アプリの仕様を知らないと判定できません。
Lovable や Bolt で作ったアプリでも見られますか？
はい。コードを書き出せる（GitHub に連携できる）ものであれば対象です。データベースが Supabase の場合は、RLS の条件も合わせて確かめます。
費用はいくらですか？
公開前ライト診断が税別¥29,800〜（約3営業日）です。より網羅的なスポット診断・標準監査、修正の実装まで任せる伴走プランもあります。まず無料の20問セルフチェックで、どこが不安かを確かめてからでも構いません。
鍵や顧客データを渡す必要はありますか？
ありません。コード、データベースの構造（データ抜き）、環境変数の「名前」の一覧、テスト用アカウント、そして「誰が何をしてよいか」の表があれば始められます。
公開する前に、一度だけ人の目を
まず致命的な穴の有無だけを、3営業日ほどで判定します。直すかどうかは、そのあとで決めてください。
秘密保持契約（NDA）は、相談の前から結べます。