「動いた」だけで、
本番公開していませんか？
一般的なWebシステムやクラウドSaaSはもちろん、特にCursor・v0・Claude等のバイブコーディング（AI駆動開発）で構築されたシステム特有の脆弱性発見に特化した調査機能を独自実装。
急速に進化するAI技術と最新の脅威トレンドに合わせ、日々アップデートされる自社診断基盤 BASALA SecurityScanによる33項目の網羅的検証と、コードレベルでの修正・塞ぎ込みまで一気通貫で伴走します。
急増するAI生成コードのセキュリティ危機
Cursorやv0、ChatGPT等のAIエディタを使えば爆速でシステムを組める時代になりました。しかし、AIは「開発中のエラーを解消し、ローカルで動かすこと」を最優先するため、本番で必須の防御機構をごっそり省略します。コードは美しく書かれ、TypeScriptの型エラーも出ず、ローカルテストでは100%動いてしまう——それこそが、開発者が気づけない最大の落とし穴です。
「動く」けれど穴だらけ
AIは指示通りに動くコードを最速で生成しますが、Next.js Server ActionsやFirebaseルールの全開放置（allow read, write: if true;）、PrismaへのMass Assignment（生リクエスト直結）、メール送信APIのスパム中継踏み台化、暗号化の固定IV（ゼロ埋め）、OAuthのstate未検証など、従来の自動診断ツールでは見落とされる致命的な盲点が放置されがちです。
診断会社は直してくれない
一般的なセキュリティ監査会社に依頼しても、「ここに脆弱性があります」という古典的なPDFレポートを渡されるだけ。最新アーキテクチャ特有の修正方法までは教えてくれず、肝心のソースコード修正は自社で抱え込むことになります。
情報漏洩・システム破壊の恐怖
React Server Componentsのデータ過剰シリアライズ、Next.js SSRキャッシュによる個人情報の全ユーザー共有事故、Zip Slipによるサーバーファイル上書き、AI自律エージェントのホスト生実行によるOS完全掌握など、正常系動作の確認だけで本番公開した瞬間、数分で巨額損害や信用の失墜につながります。
BASALAが選ばれる3つの理由
ただ診断するだけのベンダーとは違う、Web開発会社だからこそ提供できる実効性があります。
① 診断から修正コード作成・PR納品まで完結
診断結果に基づき、具体的な修正差分コードをGitHub等のPull Request形式で作成・納品。お客様はレビューしてマージするだけで安全に改修を完了でき、修正後の再スキャンまで一貫して支援します。
② Web・SaaS網羅 ＆ 日々進化するバイブの脅威に特化
一般的なWeb・SaaSの脆弱性（OWASP Top 10等）網羅に加え、Cursor等で急造されたコード特有の急所（Next.js認証漏れやFirebase設定ミス等）を発見。自社診断基盤BASALA SecurityScanを日々アップデートし、新種脅威まで徹底網羅します。
③ 高度なシステム開発の実績基盤
0.005秒で表示する超高速自社CMSや基幹Webシステムをゼロから設計・開発しているBASALAの精鋭エンジニアが、診断から実践的な修正PRの作成まで一貫して担当します。
33項目におよぶ網羅的診断スコープ
国際基準（OWASP Top 10等）に準拠し、一般的なWebシステム・SaaSに求められる厳格な監査項目を完全網羅。さらに、バイブコーディング特有の脆弱性発見に特化した調査機能を実装し、日々アップデートを重ねる自社開発診断基盤BASALA SecurityScanと、熟練エンジニアの手動セマンティック検証を組み合わせた独自ハイブリッド解析を実施。脆弱性の迅速な特定から、具体的なGitHub修正Pull Requestの作成までワンストップで支援します。
認証・認可・セッション制御（4項目）
AIコードで最も見落とされやすい他者データの不正閲覧不備や、トークンの不適切な実装を厳しくチェックします。
サーバーサイド・インジェクション耐性（8項目）
ユーザー入力値をそのままバックエンドへ渡すことで生じる、サーバー乗っ取りやデータ全削除の脅威を検証します。
Webフロントエンド・ブラウザ防御（4項目）
ユーザーのブラウザ上で悪意あるスクリプトが動くXSSや不正操作を誘発するCSRF、ブラウザ設定の不備を検証します。
クラウド環境・サーバー設定・情報漏洩（5項目）
AIが自動生成した設定の隙を突き、クラウド認証情報や秘密情報が漏洩するリスクを調査します。
データ処理・プロトコル・API連携（5項目）
外部連携やデータパーサーに潜むDoS攻撃リスクやプロトコル悪用を診断します。
サプライチェーン・ライブラリ脆弱性 (SCA)（3項目）
npmやpip等の外部依存パッケージに潜む既知の脆弱性や悪意あるパッケージ混入リスクを徹底洗い出しします。
生成AI連携・LLMエージェント防御（4項目）
LLM API連携や自律型AIエージェント特有の命令乗っ取り・意図せぬアクション実行リスクを防御します。
自動スキャンをすり抜ける「4大急所」をスナイパー検証
SQLインジェクションやXSSなどの一般的な脆弱性はツールによる全自動スキャンで検出可能ですが、「お金・権限・他者データ」に関わる業務ロジックの不備は、プロが通信をインターセプト（改ざん）して狙い撃つ必要があります。BASALA SecurityScanでは、自動診断に加え、被害が甚大となる4大急所の手動実証検証を実施しています。
決済・購入処理の改ざん耐性
quantity=1 ➔ quantity=-1
ECサイトやSaaS決済において、クライアント側から送信される購入金額や数量パラメータを書き換えた際、サーバー側で厳格に検証・ブロックできるかを検証します。
権限昇格・ステータス更新の防御
is_verified=false ➔ true
プロフィール更新やユーザー登録時のリクエストBodyに管理者フラグを不正混入（Mass Assignment）させ、一般ユーザーが自力で管理者に昇格できないかを検証します。
他者データの不正閲覧・改ざん (BOLA/IDOR)
order_no=999 ➔ order_no=998
URLパラメータや非同期APIリクエストのID番号を変更するだけで、認証をバイパスして他ユーザーの個人情報や注文履歴、請求書データが取得できないかを検証します。
ポイント・クーポン適用の多重・不正処理
coupon_code=DISCOUNT を並列多重送信
利用ポイントのマイナス指定による残高の不正増加や、クーポンコードの並行送信（レースコンディション）による多重割引適用などの業務ロジックの穴を突いて検証します。
診断から修正完了までの流れ
スピーディな診断から修正Diffの納品、さらにご希望に応じてGitHub修正PRの発行・再診断まで伴走。
※ライト・スタンダードプランは【STEP 03】（自社修正）で完了となります。自社にエンジニアがいない場合は【STEP 04〜05】のワンストップ修正まで丸ごと代行いたします。
【STEP 01】システム構成ヒアリング ＆ 診断対象の確定
一般的なWebシステム、業務アプリ、クラウドSaaS、APIから、Cursorやv0等で急造されたAIプロダクトまで幅広く対応。使用言語・フレームワーク、リポジトリ環境をヒアリングし、事前にお見積もりとスケジュールをご提示します。
【STEP 02】ツールスキャン ＆ 専門エンジニアによる手動診断
日進月歩の脅威に合わせて日々アップデートされる自社開発の診断システムBASALA SecurityScan（バイブコーディング特化の調査機能搭載）による高速スクリーニングと、経験豊富なエンジニアによる手動セマンティック監査を掛け合わせ、33項目を徹底検証します。
【STEP 03】脆弱性レポート提出 ＆ 修正方針の策定
検出されたリスクの深刻度（緊急・高・中・低）を分かりやすく整理した診断レポートを作成。ライトプランでは「脆弱性別の推奨対策ガイド・一般的な修正コード例」を、スタンダードプラン以上では「貴社ソースコードに合わせた具体的な修正コードDiff」をご提示します。
提示されたレポートや修正Diffをもとに、貴社エンジニア様または開発会社様にて修正を安全に進めていただけます。（※自社での改修が難しい場合は、STEP 04のワンストップ修正PR発行代行への切り替えも可能です）
【STEP 04】具体的なコード改修 ＆ GitHub修正Pull Request納品
「指摘書を渡して終わり」ではありません。修正前後の具体的なコードDiffをもとに、BASALAのエンジニアが御社のGitHubリポジトリへ直接、安全な修正Pull Requestを発行。御社は内容のレビュー・マージのみで改修が完了します。
【STEP 05】再診断・安全性の確認 ＆ 実施完了証明書発行
修正箇所の再スキャンを実施し、脆弱性が確実に塞がれたことを実証。「セキュリティ脆弱性診断 実施完了証明書」を発行し、安心して本番運用できる状態を確認して納品完了となります。（※他プランでもオプションで追加可能）
他社大手・一般SaaSとの決定的な違い
「指摘レポートを渡して終わり」の従来型診断とは根本的に異なります。大手ベンダーの1/5の適正価格で、AIからソースコードまで網羅し、GitHubへの修正Pull Request発行までワンストップで代行します。
| 比較項目 | 大手セキュリティ会社 | 一般的な脆弱性診断SaaS | BASALA SecurityScan |
|---|---|---|---|
| 費用相場 （1回あたり） | 150万円 〜 300万円 | 年契約 180万 〜 360万円 | 18万円 〜 88万円 大手の半額〜1/5 |
| 修正対応 | 不可 指摘書PDFの提出のみ | 不可 アラート検知・通知のみ |
修正コードDiff提示 ＆ GitHub PR発行代行 |
|
AI・LLM セキュリティ |
別途高額コンサル （＋200万円〜） | 非対応 | 標準対応 （プロンプト奪取・脱獄検証） |
| ソースコード診断 (SAST / SCA) | 別途オプション （＋100万円〜） | 別ツールの個別契約が必要 | 標準搭載 （33項目に完全統合） |
| 標準納期 | 2週間 〜 1ヶ月以上 | 即時 （ただし自力解析） | 最短3営業日 （通常 3〜5営業日） |
| 本番稼働中の安全性 | 深夜作業調整が必要 | ツール自動実行による データ破壊リスク有 | 非破壊セーフモード完備 （データ破損ゼロ） |
【実証事例】
OWASP ZAP（標準アクティブスキャン）対策済みシステムにおける検証結果
世界標準のオープンソース脆弱性診断ツール「OWASP ZAP」の標準動的アクティブスキャンを実施し、検出された指摘項目をすべて改修済みの本番システムに対し、BASALA SecurityScanを実行したところ、複数の「Critical（緊急）」「High（高危険度）」脆弱性を新たに検出しました。
OWASP ZAP（標準アクティブスキャン）
表層のHTTPリクエストに対する機械的シグネチャテスト（既知パターン検証）に優れ、網羅的なベースライン診断ツールとして極めて有用です。
- 単純なSQLインジェクション・反射型XSS等の機械的検知
- 標準的なセキュリティヘッダー不備や既知の公開設定ミス
- 対象外・すり抜け要因： 業務ロジック依存の認可不備（BOLA/他者データアクセス）、多段権限昇格、AIプロンプト奪取、ソースコード深層の論理欠陥
BASALA SecurityScan（33項目監査）
動的DASTに加え、「ソースコード静的解析（SAST/SCA）」と「内蔵ブラウザによる手動改ざん・論理検証」を完全に統合。
- 新たにCritical/Highを検出： ツールが「安全」と判定したAPIエンドポイントの多段認可チェック漏れや特権昇格パスを特定
- AI・LLM特有リスクの遮断： プロンプトインジェクションによるシステム指示奪取や機密データ漏洩を検証
- 実コード修正まで完結： 単なる指摘にとどまらず、即座にGitHub修正Pull Requestまで代行発行
明快・適正な料金プラン
追加費用の心配がない、定額・明朗な3段階のパッケージをご用意しています。社内のリソースや目的に合わせて柔軟にお選びいただけます。
ライト
予算を抑えて主要リスクだけ素早く確認したいスタートアップや最終簡易チェック向け
- 動的診断スコープ：主要急所 最大5エンドポイント
- 主要Web 10項目（SQLi, XSS, CSRF等）またはAI特化スキャン
- 脆弱性検出サマリーレポート（TSV/Markdown）納品
- 脆弱性別の推奨対策ガイド・一般的な修正コード例の提示
- 非破壊セーフモードによる安心スキャン
スタンダード
全33項目を完全網羅。社内にエンジニアがおり、提示された修正コードで自社修正できる企業向け
- 全ソースコード静的網羅解析（ファイル数・行数無制限で全走査）
- 動的診断スコープ：主要急所 最大15エンドポイント（主要導線網羅）
- 全33項目 総合セキュリティ監査（動的DAST ＋ 静的SAST/SCA ＋ AI診断）
- 修正コードDiff提示（修正前後のコードをコピペで即適用可能）
- AI・プロンプトインジェクション＆脱獄検査完全網羅
- 詳細技術レポート ＆ 経営層向けエグゼクティブサマリー納品
ワンストップ修正
社内にセキュリティ専門家がいない企業向け。手動改ざん検査からGitHub修正PR発行・実施完了証明書まで完全丸投げ
- 全ソースコード静的網羅解析 ＋ 動的急所 最大30エンドポイント
- スタンダードの全内容（全33項目網羅）
- 内蔵ブラウザによる手動改ざん精密検証（4大急所：決済・権限・BOLA）
- GitHub修正Pull Request直接作成・納品（レビュー・マージのみで改修完了）
- 修正確認の再スキャン（1回無料） ＋ セキュリティ脆弱性診断 実施完了証明書発行
単品追加オプション（必要に応じて柔軟に追加可能）
よくあるご質問
サービスに関する疑問や導入時の不安についてお答えします。
本番稼働中のサービスやデータベースに影響はありませんか？
AI・LLM機能のセキュリティ診断とは具体的に何を検査するのですか？
GitHubの修正Pull Requestを作成してもらうのに、どのような権限が必要ですか？
修正後に本当に脆弱性が塞がったか再確認してもらえますか？
納品までは何日くらいかかりますか？
画面数やAPIエンドポイントが多い大規模システムでも診断可能ですか？
弊社では、ソースコード全体（何万行でも無制限）は静的AI診断（SAST）で瞬時に全網羅しつつ、動的検査は重要急所（スタンダードで最大15箇所、ワンストップで最大30箇所）に集中投下するハイブリッド手法をとることで、無駄なコストを極限まで抑えています。規定数を超える超大規模システムの場合も、1エンドポイント＋1.5万円〜で柔軟にカスタム対応いたします。
最初から安全な社内AIシステムを開発したい企業様へ
株式会社BASALAでは、月額28万円×3ヶ月の定額制で実稼働プロトタイプを現場で試しながら納品する「社内AIシステム構築サービス」も展開しています。本セキュリティ基準を最初からクリアした堅牢なシステムを開発可能です。
社内AIシステム構築サービス（3ヶ月プラン）を見るセキュリティ診断・修正の無料ご相談
「自社WebシステムやSaaSのセキュリティを総点検したい」「バイブコーディングで作ったシステムに不安がある」「本番リリース前に専門的な検証をしたい」など、まずはお気軽にご相談ください。