AI/内製webアプリのセキュリティ、診断します

◾︎AIで作ったそのツール、セキュリティ大丈夫ですか？ バイブコーディング・格安AI開発・自前構築のWebアプリを、 実務エンジニアが手動でセキュリティ診断し、改善案をご提案します。 こんな状況、当てはまりませんか？ ・すでに攻撃を受けた疑いがある ・いきなりログインできなくなった ・Claude CodeやCursorで業務ツールを作った。動いているが、セキュリティを確認したことがない ・格安の開発者にAIで作ってもらった。コードの中身はよくわからない ・VPSを借りてサーバーを立てた。ファイアウォールの設定はとりあえずのまま ・アプリをリリースして1年以上、アップデートをほとんどしていない ◾︎なぜリスクが生まれるのか 原因と典型的な問題パターンを短く説明します。 ・「非公開サービスだから大丈夫」ではない 最新の自動攻撃ツールは、サーバのIPアドレスを総当たりします。隠れていても攻撃されます。 ・AIが書いたコードの落とし穴 AIは「動くコード」を書くのが得意ですが、「安全なコード」は別の話です。 ・認証の抜け穴 URLを直打ちすると、ログイン不要で管理画面にアクセスできる ・シークレットの露出 APIキーやパスワードがコードやGitリポジトリに残っている ・権限チェックの甘さ AさんがBさんのデータを見られる ・エラー情報の漏洩 エラー画面にDB構造やサーバー情報が表示される ・自前構築・放置システムのリスク 「とりあえず動いている」状態のサーバーは、自動攻撃の標的になりやすい。 ・SSHがパスワード認証のまま ブルートフォース攻撃でログインされる ・OSアップデートをしていない 既知の脆弱性が放置されている ・不要なポートが開いたまま 外部から直接アクセスされる入口が残っている ・バックアップなし 改ざん・ランサムウェア被害から回復できない ◾︎自動攻撃は「大企業だから狙う」のではありません。総当たりで獲物を発見し、脆弱な設定をスキャンして、自動的に侵入を試みます。 診断内容: ・ヒアリングチェックシートによる診断 ・ソースコードの手動レビュー ・認証・権限・脆弱性・シークレット管理確認 ・重大度ラベル付きレポート ・インフラ簡易チェック付帯（無料） 2回目のビデオ通話で問題点を指摘した上で、改善案までご提案します。