AIで作ったアプリを
公開前に自分で確かめる3つのこと

2026年のデータが示すこと

Microsoftなどの研究者が、公開されて動いているAI製のWebアプリ200件を調べました。91%に少なくとも1つの脆弱性があり、見つかった欠陥1,186件のうち65.77%は「致命的」または「高」と評価されています。同じ論文の実験では、上位のAIモデルに変えても結果はほとんど改善しませんでした。出典は、Microsoftなどの研究者による『Understanding the (In)Security of Vibe-Coded Applications』（2026年6月投稿）です。

コードそのものを調べた結果もあります。Veracode『2026 GenAI Code Security Report』（2026年7月）では、AIが生成したコードの安全合格率は56%でした。種類別では、XSSの合格率が15%、ログインジェクションが12%です。XSSは、画面に他人の仕込んだ命令が混ざる種類の穴を指します。

これらは調査対象についての数字ではありますが、作ったあとの確認は省くことのできない作業となっていることが分かります。v0・Cursor・Claude Codeなど、作る道具としてのAIモデルの選択肢は広がっていますが、どのAIモデルを使用したとしても、公開前にコードと設定を確かめる工程を加えることは、アプリを制作する上で絶対に必要な作業となっています。

公開前に確かめる3つのこと

外部サービスを使う「鍵」の置き場所

アプリに入れた秘密の鍵が他人に渡ると、勝手に使われ、自分では使っていない外部サービスの料金が請求されてしまいます。AI・地図・決済などをアプリに組み込むときに受け取る「APIキー」という文字列が、この鍵にあたります。

サービスにつながり、画面も動くようになったら、それで完成ではありません。まず気をつけたいことは、秘密の鍵を画面側のコードに書いたまま公開することです。このコードは利用者のブラウザへ送られるため、画面に表示されていなくても、ブラウザの標準機能で中身を調べれば見つかります。パスワードのように見た目を隠しても、鍵そのものを渡している状態は変わりません。

セキュリティを高めるには、サービスが動くことに加え、見えない裏側で鍵がどこに置かれているかまで確かめる必要があります。作ったAIには「使っている外部サービスを挙げ、秘密のAPIキーが画面側のコードに入っていないか確認して」と頼みましょう。鍵の置き場所と、利用者のブラウザへ送られないかまで確認してもらってください。

データを保存する場所の「扉」

アプリで情報を保存する場所には、誰が読めて、誰なら書き換えてよいかを決める設定があります。開発中に扱いやすいよう、全員が読み書きできる設定にしていたら、公開前の見直しが必要です。

ログイン画面があるから、情報も守られているわけではなく、保存場所の扉が開いたままなら、情報は簡単に取り出されます。そのため、どの情報を誰に見せ、変更を認める相手は誰なのかを整理することが必要です。「安全にして」とだけ頼んでも、意図した範囲になったか自分で判断できません。

作ったAIには「すべての保存場所について、誰が読めて、誰が書き換えられる設定か確認して」と頼みます。「会員情報は本人だけ、投稿はほかの人も読めるが編集は本人だけ」のように、自分のアプリで決めた範囲を伝え、情報を守る「扉」の機能が正しく設定できているか確認をしましょう。

URLを変えるだけで他人のページが開かないか

マイページのURL「/mypage/1024」の数字を1025に変えると、他人のページが開くアプリがあります。ページへのボタンを隠していても、URLを直接入力すれば開けてしまうため、確認が必要です。

URLは行き先を示す「表札」にすぎず、それを知っている人が本人とは限らないため、アプリ側で別に確認します。

テスト用アカウントを2つ作り、片方でログインしたまま、もう片方のマイページのURLを開いてください。他人の情報が見えたら、作ったAIに「本人以外は開けないように直して」と頼んでください。

自分で何度も触っても見つからない理由

何度も操作して問題が出なければ、公開しても大丈夫と思うかもしれません。しかし、その確認は毎回同じアカウントで、同じ順番をたどっていないでしょうか。作った本人は使い方を知っているため、ログインしてボタンを押し、入力して保存するという、想定した操作に偏りがちです。

今回のような穴を見つけるには、別の人のページのURLを直接開く、ログインせず会員向けページへ進む、ブラウザに届いたコードを調べるといった確認が必要です。普段どおりに画面を動かすだけでは、見えない裏側まで調べたことにはなりません。

確認の前に「本人」「別の利用者」「ログインしていない人」の立場を分け、それぞれに見せてよい情報と変更してよい範囲を書き出しましょう。そのメモに沿って試すことで、操作する人が変わっても、決めた範囲を守れているか確かめられます。

コードが読めなくても進められる、穴の発見と修正

コードが読めなくても、見つかった問題を作ったAIに伝えて修正を頼めば、直す作業を進められます。「何をしたら何が見えたか」を記録してそのまま伝え、直ったら同じ操作でもう一度確かめてください。

自分で見つけきれない穴を調べる手段の一つが、公開前チェックサービスBPR Prot.です。コードや設定を貼る・URLを入れる・ファイルを送るという3つの方法で、問題の場所を調べられます。無料で始められるので、自分で操作して確かめることに加えて、診断ツールでも調べてみましょう。

BPR Prot. でできることは、こちらの記事で紹介しています。

公開する前に、3つを確かめる習慣

公開や納品の前に、外部サービスを使う「鍵」の置き場所と、データを保存する場所の「扉」の設定を確かめます。URLを変えるだけで他人のページが開かないかも試し、問題があれば直して同じ操作でもう一度確かめます。

公開後も、鍵の置き場所や保存場所、ログインに関わる設定を変えたら、同じ3つを見直してください。

大切な情報を守るために、アプリを作ったら公開前に確かめることを、制作の工程に入れましょう。