こんにちは、Naeildoを作っているチームです。
Cursor、Claude CodeのようなAIコーディングツールで素早くサービスを作る人が増えました。私たちもその一員でしたが、ある日ふと「このコードは本当に安全なのか？」という疑問が残りました。
自分たちで確かめてみることにしました。国内スタートアップ28社の本番サービスをOWASP Top 10基準で分析してみたところ、予想とは異なる結果が出ました。
- AI生成コードの45%でセキュリティ脆弱性を発見
- 28サービスの平均セキュリティスコア: 100点満点中19.4点
- 最も一般的な脆弱性: APIキーのハードコーディング、JWTの有効期限未設定、CORSの全許可
この問題を解決したくて、Naeildoを作りました。
どのように動作しますか
URLを入力すると、9つのAIエージェントが3つのチームに分かれて分析します。
- Guardチーム（3名）: 静的コード分析、依存関係監査、インフラセキュリティ点検
- Analystチーム（3名）: 動的セキュリティテスト、認証/アクセス制御の検証、AIコードパターン分析
- Verifierチーム（3名）: OWASP標準準拠の確認、コンプライアンス検証、全体結果のクロス検証
各エージェントが独立して分析した後、二重経路（URL外部シグナル収集 + MCPサーバー連携）でクロス検証します。1つのエージェントが見落とした部分を別のエージェントが捉える構造です。
コードを直接提出する必要はありません。URLから観測可能なヘッダー、TLS、CORS、DNS、コンテンツメタなどのシグナルを収集して分析します。
分析結果
- 脆弱性一覧 + 深刻度分類
- 段階別改善ガイド: 1番から順番に従えば完了する形（修正コード例を含む）
- PDFレポート: セキュリティ点検結果を文書として整理し、共有できる形式
- Markdown形式: 開発者がすぐに実行できる形式
作ることになった理由
KISIAの調査によると、国内企業の67.4%がセキュリティ組織自体を運営しておらず、企業あたりのセキュリティ専任人材は平均0.8人です。セキュリティ点検をしたくても、専門人材や外部委託なしには始めにくい構造です。
AIコーディングツールでサービスを作る速度は速くなった一方で、そのコードを検証できるアクセスしやすい手段が不足していると感じました。URL1つですぐに分析を回せたらいい、という考えから始まりました。
技術スタック
- Next.jsベースのWebアプリケーション
- Multi-AI Agentアーキテクチャ（Guard / Analyst / Verifier の3チーム9エージェント）
- URLベースのマルチモデルクロス検証パイプライン
フィードバックや気になる点があれば、コメントでお寄せください。技術的な質問も歓迎します。積極的にお答えします。
5件のコメント
Mythosも false positive がかなり多かったとのことですが、人によるレビューは実施されたのか気になります..
既存ツールと比べて客観的な優位性が証明されていないのであれば、外部検証は内部の人間にもできることですし、外部で検証することをあたかも利点であるかのように語るのも少し不自然ですね。"単にコードを読むのではなく" とおっしゃいますが……コードが見られないので、結局は外部からしかチェックできないということなのではないでしょうか...
例として挙げていただいた「ネイルドが見つけた」セキュリティ問題のレベルにも、ちょっと面食らいますね。ああいうことも分からない人が対象なら理解はできますが、そもそもそういう人たちがセキュリティに関心を持つのか、という問題もありますし。
AI生成コードの45%でセキュリティ脆弱性が発見されました
そのコードがAIによって生成されたものだと、どうやって分かったのでしょうか？
AIを使って作る本人であれば、AIを使ってセキュリティ問題を見つけて修正できるはずですが、このサービスにはそのような方法と比べてどんな利点があるのでしょうか？
汎用AIにコードを尋ねるのは、ソースコードレベルの点検です。しかし、実際の脆弱性のかなりの部分は、コードではなくランタイム・設定・インフラ・認証/セッション処理・デプロイ環境で発生します。私たちのサービスは、この領域を捉えるため、最初からセキュリティに特化したマルチAIエージェントとして設計されました。単にコードを読むのではなく、実際にデプロイされたサービスを外部から直接点検するため、コードだけを見ても表面化しない問題まで見つけ出します。