AIを使ったソフトウェア開発そのものが危険というわけではない。しかし、AIが生成したコードを十分に検証しないまま利用すると、セキュリティ上重要な処理が抜け落ちる恐れがある。

　IBMは2026年6月、バイブコーディングは自然言語による指示だけで製品を構築できる一方、AI生成コードが増えることで、セキュリティリスクの量や性質も変化していると同社の公式ブログで指摘している。

　ESETが挙げる代表的な問題は次の5つだ。

APIキーなどの秘密情報をコードに直接記述する

　攻撃者にAPIキーなどを抜き取られれば、開発者側のシステムやそこに保存された利用者データへアクセスされる恐れがある。

入力値検証やアクセス制御がない

　悪意のある入力を受け付けたり、本来アクセスできない他の利用者のデータを閲覧、変更できたりする可能性がある。

初期設定で情報を公開する

　利用者のプロフィールや非公開情報が別の利用者から見える状態になる恐れがある。

暗号化が不十分、または実装されていない

　保存データや通信中のデータが漏えいした際、内容を読み取られやすくなる。

アクセス回数を制限していない

　攻撃者が大量のログイン試行を繰り返す「ブルートフォース攻撃」などを実行しやすくなる。

　こうした問題は、AIを利用せずに開発した従来のアプリでも発生する。AIによるアプリ開発で注意したいのは、セキュリティに詳しくないユーザーが短時間でアプリを作成し、公開できてしまう点だ。

社内利用を許可する前に確認したい「5項目」

　では、従業員がバイブコーディングで作ったアプリや、AIで開発された外部サービスを使いたいと申請してきた場合、情シスは何を確認すればいいのか。

　ESETの指摘を企業利用の観点から整理すると、大きく5項目がある。

誰が開発、運営しているのか

　まず確認したいのが、アプリを提供する主体だ。開発した主体は企業として実在しているか、どれくらいの運営実績があるか、問い合わせ窓口が用意されているかなどを確認する。短期間で急速にユーザーを増やしたサービスの場合は、利用拡大にセキュリティや運用体制の整備が追い付いているかどうかに注意が必要だ。

　業務利用する場合は、「問題が発生したとき、誰に連絡できるのか」も確認しておきたい。

どのデータ、権限を要求しているのか

　次に見るべきなのが、アプリが要求する権限だ。例えば単純な計算をするだけのアプリがカメラや連絡先へのアクセスを求めているのであれば、その必要性を確認する必要がある。

　特に重要なのは「アプリにどのデータを渡すか」だけではない。「その権限を使ってアプリが何をしようとしているのか」まで把握することだ。データの読み取りだけなのか、ファイルを変更できるのか、メール送信などの操作まで実行できるのかによって、問題発生時の影響範囲は大きく変わる。

データをどこに保存し、いつ削除するのか

　プライバシーポリシーや利用規約から、収集するデータ、保存場所、第三者への提供有無、保存期間などを確認する。退職者や利用終了者のデータをどのように削除できるかも重要だ。

　アプリをアンインストールしたからといって、サービス事業者のサーバからデータが削除されるとは限らない。企業として利用する場合は、サービス利用終了時のデータ削除方法まで事前に確認しておく必要がある。

認証や脆弱性対応の仕組みがあるか

　アプリがパスワードや機密データをどのように保護しているのか、脆弱性が発覚した場合に報告する窓口や修正を配布する仕組みがあるのかも確認する。

　「アプリストアやマーケットプレースに掲載されているから安全」と考えるのは危険だ。サービスごとに審査内容は異なり、掲載されていること自体が脆弱性の不存在を保証するわけではない。

　情シスが業務利用を審査するのであれば、多要素認証（MFA）の対応状況、データの暗号化、アクセス制御、セキュリティ更新の提供方法なども確認対象になる。

AIは「閲覧」だけか、それとも「操作」までできるのか

　AI機能を持つアプリで、もう1つ確認しておきたい項目がある。AIが何にアクセスでき、どのような操作まで実行できるかだ。

　AIシステムには、外部の文章などに埋め込まれた不正な指示によって、本来意図していない処理を実行させられる「プロンプトインジェクション」のリスクがある。

　例えばAIがメールやファイルを読むだけでなく、メッセージ送信、ファイル変更、商品購入などを実行できる場合、不正な指示を取り込んだ際の影響は大きくなる。そのためAIエージェント型のアプリでは、「AIが参照できる情報」と「AIが実行できる操作」を分けて確認することが重要になる。

本稿は、ESETが2026年9月25日に公開したIs that vibe coded app safe? 5 checks before you downloadを基に作成しました。