AIでアプリができた！でも、そのまま公開して大丈夫？
AIが作ったアプリは、見た目は動いていても中身が危ないことがあります。公開する前に必ず確認したい8つの項目と、該当したら公開を止めるべき4つを説明します。
AIに頼んだら、思ったより簡単にアプリができた。画面もちゃんと動いている。——実は、ここがいちばん危ない瞬間です。調査では、AIが作ったアプリの65%に弱点が見つかっています。しかも、その多くは画面上ではまったく正常に見えます。公開前に確認すべき8項目を、危険な順に並べました。
まず結論
結論として、確認せずに公開するのは危険です。
AIが作ったアプリは、画面の上では正常に動いていても、中身に問題があることがよくあります。 しかも、その問題は使っていても気づけません。
調査ではこういう結果が出ています。
65%
AIに任せて作られたアプリのうち、調査で弱点が見つかったものの割合です。半数以上には、放置すると危ない重大な問題が含まれていました。
この記事では、公開前に必ず確認したい8項目を、危険な順に説明します。
なぜ確認が必要なのか
理由は1つです。AIは、頼まれていないことを考えないからです。
「予約フォームを作って」と頼めば、予約フォームは作られます。でも次のことは、言わなければ入らないことがあります。
- 他の人の予約が見えないようにする
- 管理者以外が管理画面に入れないようにする
- 変な値を入れられても壊れないようにする
そして厄介なことに、これらが抜けていても、画面上は完璧に動いて見えます。 テストしても通ります。公開してから発覚するのが典型的なパターンです。
公開前チェックリスト
上から順に、危険度が高い順に並べています。
- 別のアカウントから、他人のデータが見えてしまわないかここが該当したら公開しない
- 管理者用の画面に、URLを直接入力すれば誰でも入れてしまわないかここが該当したら公開しない
- 大事な「鍵」が、ブラウザから見える場所に置かれていないかここが該当したら公開しない
- 変な値を入力されても、サーバー側で止められるかここが該当したら公開しない
- データが消えたときに、元に戻せる仕組みがあるか
- 有料なら、特定商取引法に基づく表記があるか
- 個人情報を扱うなら、プライバシーポリシーがあるか
- 問い合わせフォームの通知が、実際に自分に届くか
以下、1つずつ説明します。
1. 他人のデータが見えないか（最重要）
いちばん多く、いちばん影響が大きい問題です。
どういう問題か
たとえば予約サイトを作ったとします。自分の予約ページを開くと、こういうアドレスになっているはずです。
https://あなたのサイト/reservations/123
このとき、末尾の数字を 124 に変えて開いてみてください。他の人の予約が表示されたら、危険な状態です。
なぜ起きるのか
AIは「ログインした人のページを表示して」と頼まれると、画面の見た目を作ります。でも「他人の番号を入れられたら断る」という処理は、指示しないと入らないことがあります。
確認方法
アカウントを2つ作って、片方でログインした状態で、もう片方のデータを見にいってみてください。 これが最も確実な確認方法です。
対策
画面で隠すだけでは不十分です。データを保存している側で「本人のものしか渡さない」設定を入れる必要があります。
Claude Codeにこう伝えてください。
データベース側で、ログインした本人のデータしか読み書きできないように設定して。画面で隠すだけでなく、データベースのルールとして設定してほしい。
2. 管理者用の画面が守られているか
管理画面へのリンクを「表示しないようにした」だけで、守ったつもりになっているケースがよくあります。
リンクが見えないだけで、アドレスを直接入力すれば誰でも入れる状態になっていることがあります。
確認方法
ログアウトした状態で、管理画面のアドレスを直接入力してみてください。開けてしまったら危険です。
3. 大事な「鍵」が見える場所にないか
サービスを作るとき、**外部のサービスにつなぐための「鍵」**を使うことがあります。これが外から見えてしまうと、他人にあなたのアカウントを使われてしまいます。
確認方法
公開したサイトで右クリックし、「検証」（開発者ツール）を開きます。読み込まれているファイルの中に secret や sk_ といった文字がないか探してください。
注意点
もし見つかった場合、ファイルを消すだけでは不十分です。 記録として残っている可能性があるので、その鍵は無効にして、新しいものを発行し直す必要があります。
4. 変な値を入れられても壊れないか
フォームに、想定していない値を入れられたときの動きです。
確認方法
- とても長い文字列（1000文字くらい）
- 空欄のまま送信
- 記号だけ
- マイナスの数字
これらを入れてみて、エラー画面が出たり、おかしなデータが保存されたりしないか確かめてください。
対策
画面側だけのチェックでは不十分です。画面を通さず直接データを送られると、すり抜けます。 サーバー側でも確認する必要があります。
5〜8：公開後すぐでも間に合うもの
- データのバックアップ — 消えたときに戻せるか
- 特定商取引法に基づく表記 — 有料で売るなら法律上必須です
- プライバシーポリシー — 個人情報を扱うなら必要
- 問い合わせ先 — 実際に送信してみて、通知が届くか確認してください
最後の項目は見落とされがちです。フォームを置いたのに通知設定が漏れていて、誰も気づいていなかったという例は珍しくありません。
そのまま使える確認の指示
自分で全部調べるのは大変なので、まずAIに調べさせます。次の指示をコピーして使ってください。
公開する前に、安全面の確認をしてください。
次の項目について、今どうなっているかを説明してから、問題があれば直してください。
1. ログインした人が、他人のデータ（他の人の予約や個人情報）を見られてしまわないか
URLの番号を書き換えた場合も含めて確認してください
2. 管理者用の画面に、URLを直接入力すれば誰でも入れてしまわないか
3. APIキーやデータベースの鍵が、ブラウザから見える場所に置かれていないか
NEXT_PUBLIC_ が付いた環境変数に秘密の値が入っていないかも確認してください
4. フォームに想定外の値（極端に長い文字列、空欄、記号だけ）を送られたとき、
サーバー側で止められるか。画面側のチェックだけになっていないか
直す前に、まず現状を教えてください。
最後の一文が重要です。 「直す前に現状を教えて」と言わないと、何が問題だったのかがわからないまま修正されてしまい、次に活かせません。
データの保存側で止める指示
とくに1番は、画面で隠すだけでは不十分です。保存している側で止める必要があります。
データベース側で、ログインした本人のデータしか読み書きできないように設定してください。
Supabase を使っているなら RLS（行レベルセキュリティ）を有効にして、
ポリシーを設定してください。
画面側で隠すだけの対応にはしないでください。
URLを直接叩かれても、データベースが拒否する状態にしてください。
Supabase を使っている場合、この設定が最後の砦になります。 画面の作りに漏れがあっても、データベースが拒否してくれるためです。
専門家に相談すべきライン
自分とAIでできることが多い
- 自分や友達だけで使うツール
- 学校や会社の中だけで使うツール
- アイデアを試すための試作品
- 利用者が少ない小さなサービス
専門家の知識が重要になる
- 他人の個人情報を預かる
- お金のやりとりをする
- 利用者が一気に増えたとき
- 動かなくなったときの復旧
上の1〜4に1つでも当てはまり、自分で直せない場合は、公開を止めて誰かに相談してください。
「とりあえず公開して、あとで直す」は、他人の情報を扱う場合には通用しません。一度漏れたものは取り消せないからです。
よくある質問
Q. 自分だけで使うなら確認は要りませんか？ A. インターネットに公開せず、自分のパソコンの中だけで動かすなら、そこまで神経質にならなくて大丈夫です。ただしインターネットからアクセスできる状態にした時点で、確認は必要になります。
Q. 友達数人にしか教えないから大丈夫では？ A. アドレスを知らせていなくても、インターネット上にあれば見つかることがあります。「知られていないから安全」は成り立ちません。
Q. AIに「セキュリティを確認して」と頼めばいいのでは？ A. ある程度は有効です。ただしAIは自分が書いたものを自分で確認するので、見落としがあります。 上の1〜4は、自分の手で試してください。
Q. なぜAIはこういう抜けを作るのですか？ A. AIは頼まれていないことを考えないためです。仕組みはClaude Codeでも難しいことは何？で説明しています。
Q. 全部を完璧にしないと公開できませんか？ A. いいえ。1〜4だけは必須ですが、5〜8は公開後すぐの対応でも間に合います。完璧を目指して公開できないほうが、機会の損失になります。
まとめ
- AIが作ったアプリは、見た目が動いていても中身に問題があることがある
- 調査では65%に弱点、58%に重大な問題が見つかっている
- 必ず確認すべきは、他人のデータが見えないか / 管理画面が守られているか / 鍵が見えていないか / 変な値で壊れないか
- この4つに当てはまり、直せないなら公開を止めて相談する
- 残りの項目は公開後すぐでも間に合う