セキュリティ脆弱性の「発見」から「修正」まで。
最短即日で、安心の本番公開へ。
Webシステムやクラウドサービス、AIツールの安全性を自律AIがくまなく点検し、問題箇所を直す具体的な修正コードまでご用意。
何週間もお待たせすることなく、高額な検査費用も抑えながら、自信を持ってサービスを公開できる安心の開発体制をお届けします。
数週間かかっていた安全確認を、
わずか数十分〜数時間のスピード点検へ
従来のセキュリティ専門会社が「人の手」で何週間もかけて行っていた安全確認や報告書作成、修正コードの用意を、自社のAI診断システムが大幅に効率化。開発を長期間ストップさせることなく、新しい機能やサービスをスピーディに世の中へ送り出せます。
作業工程別の所要時間・工数比較（手作業 vs 自律AI）
一般的なセキュリティ専門会社（2〜3名体制）と、BASALA自律セキュリティAIシステムの定量比較です。
| 作業工程 | 従来の手作業（専門エンジニア） | BASALA 自律セキュリティAI | 顧客チームの価値 |
|---|---|---|---|
|
① 動的シナリオ診断 BOLA/IDOR 2トークン突合、プロンプト注入32種、24モジュール検証 |
約 40 〜 60 時間 手動リクエスト送信・改ざん検証 |
約 数分 〜 全エンドポイント並行自動プローブ |
約600〜800倍 高速化 |
|
② 監査レポート・再現手順作成 再現用curl、33項目合否判定、CVSSスコア算出 |
約 8 〜 16 時間 報告書ドキュメント手作業執筆 |
約 5 秒 TSV/HTMLエグゼクティブレポート即時生成 |
待ち時間ゼロ |
|
③ 脆弱性コード修正（パッチ適用） 認証ガード・入力検証・サニタイズ等の実装 |
約 40 〜 80 時間 40〜50ファイルを開いて手動改修 |
約 数分 〜 スマート・ブロックパッチャーで自動置換 |
改修の社内負担ゼロ |
|
④ 修正後の整合性再テスト リグレッション・再脆弱性診断 |
約 12 〜 16 時間 機能や認可の破綻を手動再確認 |
約 数分 〜 自動整合性再スキャンループ |
往復リードタイム消滅 |
| 【総合計 所要工数】 | 約 100 〜 172 時間 （実働 2 〜 3 週間 / 2〜3名体制） |
わずか 数十分 〜 数時間 （※システム規模により変動） |
開発足止め時間【実質ゼロ】 |
※一般的なセキュリティ専門会社に依頼した場合、約150万〜300万円相当の工数がかかる工程です。
劇的なスピードアップと高い品質を支える「3つのポイント」
「他人のデータが見えてしまう欠陥」を自動で徹底検証
従来は担当者が手作業でログイン情報を入れ替え、他人の個人情報や注文が見えないかを調べていました。この作業をAIが自動化し、別アカウント同士で同時にアクセスを試みて即座にチェック。何日もかかっていた作業をわずか数分で完了します。
「問題の指摘」にとどまらず、「直すコード」まで自動作成
一般的な診断ツールは「ここに問題があります」と警告するだけで、直す作業はお客様任せでした。BASALAでは、問題がある前後のコードを特定し、そのまま使える安全な修正コード（ガード処理や無害化処理）を自動で作成してお渡しします。
「直したあとの再テスト」までその場で自動完結
診断・報告・修正・再診断という、これまでの何往復ものやり取り（2週間〜1ヶ月の待ち時間）を解消。修正コードを当てた直後にその場で安全性を再確認し、最高ランクの安全性が確認できるまでスムーズに完結します。
貴社はどの場面？
3つの具体的な利用シーン
「どのように使えば良いか」に迷う必要はありません。新機能リリース時の日常的な品質ゲートから、本番公開前の総点検、大手取引先への提出用エビデンスまで、貴社の状況に合わせて柔軟にご活用いただけます。
① 新機能リリース・デプロイ前の「定期品質ゲート」
新機能の公開に合わせて自動点検を実施。AIが新しいコードの安全性を確認し、修正コードの作成から再テストまで完了。最高ランクの安全性が確認された状態で、自信を持って本番公開できます。
料金を見る →② AI急造コード・本番公開前の「主要急所総点検」
「基本料0円」の成果報酬プランで、ログインや決済まわりなど、特に狙われやすい急所をピンポイントで点検。万が一、重大な危険が見つかった場合のみ費用をいただくため、費用リスクを気にせずサービスの安全性を確かめられます。
料金を見る →③ 大手取引先・監査・資金調達前の「公式エビデンス」
システム全体の安全性をくまなく点検。見つかった問題箇所の修正案に加え、公的に提出できる「セキュリティ診断 完了証明書」を発行。最短1〜3営業日（お急ぎの場合は即日対応も可）で取引先様へ提出いただけます。
料金を見る →急増するAI生成コードの
セキュリティの落とし穴
CursorやChatGPTなどのAIを使えば、誰でもあっという間にシステムを組み立てられる時代になりました。しかし、AIは「まず手元のパソコンでエラーなく動かすこと」を最優先するため、本番で欠かせない安全対策を省略してしまうことがあります。コードは綺麗でエラーも出ず、手元では完璧に動いてしまう——それこそが、開発者が気づきにくい最大の落とし穴です。
「動く」けれど、セキュリティは手薄
AIは指示通りに動く画面をすばやく作ってくれますが、管理者権限のチェック漏れやデータベースの公開設定ミス、入力チェックの不足など、手元のテストでは表面化しにくい重大な欠陥がそのまま残されがちです。
診断会社は「直すコード」まではくれない
従来のセキュリティ監査会社に依頼しても、「ここに問題があります」と書かれた分厚いレポートを渡されるだけ。最新の設計に合わせた具体的な直し方までは教えてもらえず、自社で修正方法を調べ直す負担が残ります。
情報漏えいや不正アクセスの大きな不安
他人の個人情報が画面に表示されてしまったり、社外から勝手にデータを書き換えられてしまったりといった危険は、表面の動作確認だけでは見抜けません。公開後にトラブルが起きてからでは、会社の信用回復に膨大な損失がかかってしまいます。
BASALAが選ばれる
4つの理由
ただ診断するだけのベンダーとは違う、Web開発会社だからこそ提供できる実効性があります。
① 点検から修正コードの作成・納品までワンストップ
安全点検の結果をもとに、そのまま適用できる具体的な修正差分コードをGitHub等のPull Request形式で作成・納品。丁寧な動作確認手順書もお付けしますので、貴社環境でご確認の上、安全かつスムーズに改修を完了できます。
② 一般的なWebはもちろん、AI生成コードの急所にも精通
国際的な安全基準を網羅しているのはもちろん、Cursor等で急造されたコードにありがちな見落とし箇所を熟知。自社開発の診断システム「BASALA SecurityScan」を日々強化し、新しいセキュリティの脅威にも素早く対応します。
③ 高度な自社開発で培った確かな技術力
表示速度0.005秒台（実測値）を誇る自社CMSや基幹Webシステムをゼロから設計・開発している自社の精鋭エンジニアが、安全点検から実践的な修正コードの作成まで責任を持って担当します。
④ 国際標準規格・SBOM（ソフトウェア部品表）対応
GitHubの自動検査ツールと連携できる国際規格（OASIS SARIF）や、大手企業・官公庁の監査基準を満たすCycloneDX SBOM（部品表）の出力に対応。安心してお取引先様へ提出いただけます。
33項目におよぶ
網羅的診断スコープ
国際基準（OWASP Top 10等）に準拠し、一般的なWebシステム・SaaSに求められる厳格な監査項目を体系的に網羅。DAST（動的診断）・SAST（静的解析）・SCA（サプライチェーン解析）の3層構造を基盤に、新たに配備した「Python AST多行データフロー解析」「Firebaseセキュリティルール監査」「Git全履歴シークレット検査」を完全統合。独自ルールとAI文脈解析を統合した自社診断基盤BASALA SecurityScanと熟練エンジニアの手動セマンティック検証を組み合わせ、脆弱性の迅速な特定から具体的なGitHub修正Pull Requestの作成までワンストップで支援します。
認証・認可・セッション制御（4項目）
AIコードで最も見落とされやすい他者データの不正閲覧不備や、トークンの不適切な実装を厳しくチェックします。
サーバーサイド・インジェクション耐性（8項目）
ユーザー入力値をそのままバックエンドへ渡すことで生じる、サーバー乗っ取りやデータ全削除の脅威を検証します。
Webフロントエンド・ブラウザ防御（4項目）
ユーザーのブラウザ上で悪意あるスクリプトが動くXSSや不正操作を誘発するCSRF、ブラウザ設定の不備を検証します。
クラウド環境・サーバー設定・情報漏洩（5項目）
AIが自動生成した設定の隙を突き、クラウド認証情報や秘密情報が漏洩するリスクを調査します。
データ処理・プロトコル・API連携（5項目）
外部連携やデータパーサーに潜むDoS攻撃リスクやプロトコル悪用を診断します。
サプライチェーン・ライブラリ脆弱性 (SCA)（3項目）
npmやpip等の外部依存パッケージに潜む既知の脆弱性や悪意あるパッケージ混入リスクを徹底洗い出しします。
生成AI連携・LLMエージェント防御（4項目）
LLM API連携や自律型AIエージェント特有の命令乗っ取り・意図せぬアクション実行リスクを防御します。
自動スキャンをすり抜ける
「4大急所」をスナイパー検証
SQLインジェクションやXSSなどの一般的な脆弱性はツールによる全自動スキャンで検出可能ですが、「お金・権限・他者データ」に関わる業務ロジックの不備は、プロが通信をインターセプト（改ざん）して狙い撃つ必要があります。独自ルールとAI文脈解析を統合したBASALA SecurityScanでは、自動診断に加え、被害が甚大となる4大急所の手動実証検証を実施しています。
※決済・ポイント関連の改ざん検証は、決済代行会社のテストモード（Stripe Test Key等）や検証用アカウント・ステージング環境を利用し、本番売上データやカード会社への影響を完全に排除して安全に実施いたします。
決済・購入処理の改ざん耐性
quantity=1 ➔ quantity=-1
ECサイトやSaaS決済において、クライアント側から送信される購入金額や数量パラメータを書き換えた際、サーバー側で厳格に検証・ブロックできるかを検証します。
権限昇格・ステータス更新の防御
is_verified=false ➔ true
プロフィール更新やユーザー登録時のリクエストBodyに管理者フラグを不正混入（Mass Assignment）させ、一般ユーザーが自力で管理者に昇格できないかを検証します。
他者データの不正閲覧・改ざん (BOLA/IDOR)
order_no=999 ➔ order_no=998
URLパラメータや非同期APIリクエストのID番号を変更するだけで、認証をバイパスして他ユーザーの個人情報や注文履歴、請求書データが取得できないかを検証します。
ポイント・クーポン適用の多重・不正処理
coupon_code=DISCOUNT を並列多重送信
利用ポイントのマイナス指定による残高の不正増加や、クーポンコードの並行送信（レースコンディション）による多重割引適用などの業務ロジックの穴を突いて検証します。
診断から修正完了までの流れ
数分の連携設定から、数十分〜数時間の自律解析・自動修復、そしてシニアエンジニアによる最終Wチェックまで。
開発の足止め時間を実質ゼロにし、最短1〜3営業日（※状況・オプションにより即日対応可）で安全な本番公開を実現します。
【STEP 01】システム構成ヒアリング ＆ 診断環境の連携
Webシステム、クラウドSaaS、Web API（スマホアプリの通信先API含む）からCursor/v0等のAIプロダクトまで幅広く対応。GitHubリポジトリの共有または対象URLをご提示いただくだけで、事前準備は数分で完了します。
【STEP 02】自律セキュリティAIによる並行動的スキャン ＆ パッチ生成
自社診断基盤BASALA SecurityScanが、全エンドポイントを並行解析。BOLA/IDORの2トークン自動突合やプロンプト奪取検証を数十分〜数時間で網羅し、検出された脆弱性に対してスマート・ブロックパッチャーが安全な修正コードDiffを即時出力します。
【STEP 03】シニアセキュリティエンジニアによる最終Wチェック ＆ レポート作成
AIが出力した結果を鵜呑みにせず、経験豊富なシニアエンジニアが業務ロジックの整合性と誤検知ゼロを最終監査。経営層向けエグゼクティブサマリー、開発者向け詳細技術レポートに加え、GitHub Code Scanning連携用「OASIS SARIF 2.1.0データ」およびサプライチェーン・調達監査用「CycloneDX 1.5 SBOM（ソフトウェア部品表）」を生成・納品します。
提示されたレポートや修正Diffをもとに、貴社エンジニア様または開発会社様にて修正を安全に進めていただけます。（※定期リリースプランでは月2回このサイクルを継続運用可能）
【STEP 04】GitHub修正Pull Requestの直接作成 ＆ 動作検証支援
「指摘書を渡して終わり」ではありません。修正コードDiffをもとに、御社のGitHubリポジトリへ直接マージ可能な修正Pull Requestを発行。動作確認手順書およびGitHub Securityタブと連動するSARIF 2.1.0ファイルを添付し、安全なリリースを代行支援します。
【STEP 05】自律再スキャンで最高S判定を確認 ＆ 実施完了証明書発行
修正適用後に即時自動再スキャンを実行し、脆弱性が確実に塞がれたことを実証。「セキュリティ脆弱性診断 実施完了証明書（監査・取引先提出用レター）」を発行し、最高ランク（S判定）の状態で本番公開を迎えていただけます。
他社大手・一般SaaSとの
決定的な違い
「指摘レポートを渡して終わり」の従来型診断とは根本的に異なります。無駄な中間コストを抑えた明朗な適正価格で、AIからソースコードまで網羅し、GitHubへの修正Pull Request発行までワンストップで代行します。
| 比較項目 | 大手セキュリティ会社 | 一般的な脆弱性診断SaaS | BASALA SecurityScan |
|---|---|---|---|
| 費用相場 （1回 / 継続） | 150万円 〜 300万円 / 回 | 年契約 180万 〜 360万円 | 成果報酬 0円〜 単発 35万〜 / 定期保守 月15万円（年契約） 用途に合わせて選択可能 |
| 開発チームの 足止め時間 |
2〜3週間ストップ リリース延期・待機ロス | 数十時間の自力調査 誤検知選別にエンジニア疲弊 |
【実質ゼロ】 AIが自律修復・最高S判定まで品質保証 |
| 修正対応 | 不可 指摘書PDFの提出のみ | 不可 アラート検知・通知のみ |
修正コードDiff提示 ＆ GitHub PR発行代行 |
|
AI・LLM セキュリティ |
別途高額コンサル （＋200万円〜） | 非対応 | 標準対応 （プロンプト奪取・脱獄検証） |
| ソースコード診断 (SAST / SCA) | 別途オプション （＋100万円〜） | 別ツールの個別契約が必要 | 標準搭載 （33項目に完全統合） |
|
国際標準規格 連携・調達対応 (SARIF / SBOM) |
非対応 独自形式PDFのみ | 限定的 （有償上位プラン限定等） | 完全標準対応 （SARIF 2.1.0 ＆ CycloneDX 1.5） |
| 標準納期 | 2週間 〜 1ヶ月以上 | 即時 （ただし自力解析） | 最短1〜3営業日 （AI解析＋シニアエンジニアWチェック / ※特急即日可） |
| 本番稼働中の安全性 | 深夜作業調整が必要 | ツール自動実行による データ破壊リスク有 | 非破壊セーフモード完備 （データ破壊・業務停止リスク最小化） |
【実証事例】
OWASP ZAP（標準アクティブスキャン）検証済みシステムにおける再診断結果
世界標準のオープンソース脆弱性診断ツール「OWASP ZAP」の標準動的アクティブスキャンを実施し、検出された指摘項目をすべて改修済みの本番システムに対し、BASALA SecurityScanを実行したところ、複数の「Critical（緊急）」「High（高危険度）」脆弱性を新たに検出しました。
OWASP ZAP
（標準アクティブスキャン）
表層のHTTPリクエストに対する機械的シグネチャテスト（既知パターン検証）に優れ、網羅的なベースライン診断ツールとして極めて有用です。
- 単純なSQLインジェクション・反射型XSS等の機械的検知
- 標準的なセキュリティヘッダー不備や既知の公開設定ミス
- 対象外・すり抜け要因： 業務ロジック依存の認可不備（BOLA/他者データアクセス）、多段権限昇格、AIプロンプト奪取、ソースコード深層の論理欠陥
BASALA SecurityScan
（33項目監査）
動的DASTに加え、「ソースコード静的解析（SAST/SCA）」と「内蔵ブラウザによる手動改ざん・論理検証」を完全に統合。
- 新たにCritical/Highを検出： ツールが「安全」と判定したAPIエンドポイントの多段認可チェック漏れや特権昇格パスを特定
- AI・LLM特有リスクの遮断： プロンプトインジェクションによるシステム指示奪取や機密データ漏洩を検証
- 実コード修正まで完結： 単なる指摘にとどまらず、即座にGitHub修正Pull Requestまで代行発行
自社診断基盤 BASALA SecurityScan の「3層ハイブリッド解析アーキテクチャ」
明快・適正な料金プラン
発注リスクゼロの成果報酬から、定期リリースごとの最高S判定品質保証（年間保守）、GitHub修正PRまで代行するフルマネージドプランまで、貴社の開発体制やリリース頻度に合わせて柔軟にお選びいただけます。
成果報酬
発注リスクを抑えて主要急所を検証したい企業向け。重大脆弱性が検出された場合のみ費用が発生（診断後に上位プランへの差替も可能）
- 基本診断料：完全無料（0円）
- 動的診断スコープ：主要急所 最大5エンドポイント
-
成果報酬（CVSS 7.0以上の重大脆弱性のみ）：
・Critical（緊急）：1件につき ＋5万円
・High（高危険度）：1件につき ＋3万円
※Medium/Lowは成果報酬対象外（無料報告） -
修正Diff提出オプション：
・Critical：1件 ＋2万円 / High：1件 ＋1万円 - 修正箇所多数の場合は、上位プランへの差替対応可能
- 非破壊セーフモード完備
スタンダード
全33項目を完全網羅。社内にエンジニアがおり、提示された修正Diffで自社修正できる企業向け
- 全ソースコード静的網羅解析（数十万行まで標準対応）
- 動的診断スコープ：主要急所 最大15エンドポイント
- 全33項目 総合セキュリティ監査（DAST ＋ SAST/SCA ＋ AI）
- 修正コードDiff提示（コピペで即適用可能）
- AIプロンプトインジェクション検査完全網羅
- 詳細技術レポート ＆ エグゼクティブサマリー
リリース毎・品質保証
新機能リリースごとに最高ランク（S判定）まで品質保証したい企業向け
- 月2回まで自律スキャン ＆ パッチ修復実行（隔週リリースサイクルに最適）
- 【国際規格】SARIF 2.1.0 ＆ CycloneDX 1.5 SBOM納品（GitHub連携・調達監査対応）
- 全33項目 総合セキュリティ監査（静的＋動的＋AI）
- いつでも最新の「S判定 実施完了証明書」を発行（大手商談・監査・VC提出用）
- GitHub修正Pull Request直接作成支援
- IDOR/BOLA 2アカウント自動突合・プロンプト奪取網羅
- 優先セキュリティアドバイザリー（新機能QA対応）
フルマネージド
社内にセキュリティ専門家がいない企業向け。手動改ざん検査からGitHub修正PR発行・証明書まで完全丸投げ
- 全コード静的解析 ＋ 動的急所 最大30エンドポイント
- 全33項目網羅 ＋ 内蔵ブラウザ手動改ざん精密検証
- 【国際規格】SARIF 2.1.0 ＆ CycloneDX 1.5 SBOM納品（GitHub連携・大手調達基準クリア）
- GitHub修正Pull Request直接作成・納品（手順書付き）
- 修正確認の再スキャン ＋ 実施完了証明書（S判定レター）発行
- 自社エンジニア負担ゼロの完全丸投げ
単品追加オプション
（必要に応じて柔軟に追加可能）
よくあるご質問
サービスに関する疑問や導入時の不安についてお答えします。
「成果報酬プラン」では、どのような場合に費用が発生しますか？
成果報酬プランで脆弱性が多く見つかった場合、定額プラン（スタンダード等）に切り替えられますか？
本番稼働中のサービスやデータベースに影響はありませんか？
AI・LLM機能のセキュリティ診断とは具体的に何を検査するのですか？
GitHubの修正Pull Requestを作成してもらうのに、どのような権限が必要ですか？
また、お預かりしたソースコードは外部の下請けや国外に渡ることは一切なく、100%自社シニアエンジニアが国内で安全に取り扱います。AIスキャン時もパブリックなAIの再学習データには一切利用されず、診断完了後に作業データは安全に破棄いたします。もちろん着手前の秘密保持契約（NDA）締結も標準対応しております。
修正後に本当に脆弱性が塞がったか再確認してもらえますか？
スマートフォンアプリ（iOS / Android）の診断は可能ですか？
ただし、スマートフォンアプリが通信しているバックエンドのWeb APIサーバー（認証、決済、ユーザーデータ送受信、データベース連携など）は完全対応しております。実際の重大な情報漏洩や不正アクセスの9割以上はアプリ側ではなくバックエンドAPI側の認可漏れ（BOLA）等で発生するため、API診断としてぜひご活用ください。
「【年間契約】リリース毎・セキュリティ品質保証プラン」はどのように利用しますか？
年間契約（月額15万円 税抜）の固定費用で、専任セキュリティエンジニアを雇用する（年収800万〜1,000万円）ことなく、開発速度を落とさずに鉄壁の品質保証体制（いわゆるDevSecOps）を日常化していただけます。
納品までは何日くらいかかりますか？ 即日納品は可能ですか？
なお、本番公開や商談が直前に迫っているなど大至急の場合は、状況やスケジュールに応じてオプションによる【即日納品（最短当日・翌営業日納品）】にも柔軟に対応可能です。お急ぎの場合はお問い合わせ時にお申し付けください。
画面数やAPIエンドポイントが多い大規模システムでも診断可能ですか？
弊社では、自社開発のソースコード全体（数十万行規模まで標準対応）は静的AI診断（SAST）で網羅解析しつつ、動的検査は重要急所（スタンダードで最大15箇所、フルマネージドで最大30箇所）に集中投下するハイブリッド手法をとることで、無駄なコストを極限まで抑えています。規定数を超える超大規模システムの場合も、1エンドポイント＋1.5万円〜で柔軟にカスタム対応いたします。
自社診断基盤「BASALA SecurityScan」とは、具体的にどのような仕組みですか？既存ツールと何が違うのですか？
これにより、従来の機械的シグネチャテストでは見落とされがちなNext.js Server Actionsの認可漏れや、Supabase/FirebaseのRLS設定ミス、BOLA（他者データ閲覧）などの深層ロジック欠陥を高い精度で特定します。
最初から安全な社内AIシステムを開発したい企業様へ
株式会社BASALAでは、全工程8週間・総額65万円の定額制で、着手2週間で動く実機プロトタイプを現場へ納品する「社内AIシステム構築サービス」も展開しています。本セキュリティ基準を最初からクリアした堅牢なシステムを最速で開発可能です。
社内AIシステム構築サービス（8週間プラン）を見るセキュリティ診断・修正の
無料ご相談
「自社WebシステムやSaaSのセキュリティを総点検したい」「バイブコーディングで作ったシステムに不安がある」「本番リリース前に専門的な検証をしたい」など、まずはお気軽にご相談ください。