攻撃者もAIを使う時代に、小規模サイトが取るべき守り方 ― 「自分で、必要な都度」診断する baessa Security Scanner

1. 攻撃する側にも、AIが広がっている

ここ数年で、AIは文章やコードを書く道具として、一気に身近になりました。同じ変化は、攻撃する側にも起きています。

攻撃者がAIや自動化ツールを使うと、次のことが、人手に比べてずっと安く、速くできるようになります。

• インターネット上のサイトを、広く探して回る
• 見つけたサイトの構成を調べ、弱そうな箇所に深く試行を重ねる
• 結果を整理し、次に試す手を自動で決める

ここで押さえておきたいのは、攻撃の自動化は「大企業だけを狙う」ものではない、という点です。自動化された探索は、サイトの知名度や売上の大きさではなく、見つけやすいか、破りやすいかで対象を拾っていきます。

つまり、アクセス数の少ないブログ、個人開発のアプリ、小さな会社のコーポレートサイトも、探索の対象から外れていません。「うちは小さいから大丈夫」という前提は、成り立ちにくくなっています。

被害を受けるのは時間の問題だと考えて、狙われる前に、自分で弱点を見つけて直しておく。これが、いまの現実的な守り方だと私は考えています。

2. これから問われるのは「診断と改善のサイクルを回す速さ」

脆弱性は、一度直せば終わりではありません。

• 機能を追加すると、新しい入口ができます
• プラグインやライブラリを更新すると、設定が変わることがあります
• 新しい攻撃手法が見つかると、昨日まで安全だった設定が危険になることがあります

サイトは日々変わり、攻撃の手法も日々変わります。だからこそ、「見つける → 直す → 確かめる」の1周を、できるだけ短い間隔で、何度も回すことが重要です。

たとえるなら、健康診断の結果を年に1回受け取るより、体調に変化を感じたときにすぐ測れる体温計を、手元に置いておくイメージです。

3. 第三者診断だけでは、サイクルが遅くなりやすい

専門の会社に依頼する第三者の脆弱性診断には、客観的な評価が得られる、取引先や監査に提出できるといった、大きな価値があります。この記事は、第三者診断を否定するものではありません。

ただし「診断と改善のサイクルを速く回す」という目的に限ると、次のような理由で、どうしても時間がかかります。

• 診断の範囲や条件の合意が必要：どのURL、どの操作まで試してよいかを、事前に取り決める必要があります
• アプリを壊さないための手続きが必要：診断で本番のデータが変わったり、動作が止まったりしないよう、日程や環境を調整します
• 他者への攻撃にならないための確認が必要：診断の対象が、依頼者本人のサイトであることを確認します
• 見積もりと日程調整が必要：依頼から結果が届くまでに、数週間かかることも珍しくありません

どれも、安全に診断するために必要な手続きです。しかし、新機能を出すたび、設定を変えるたびに、この手続きを踏むのは現実的ではありません。結果として、診断の間隔が空き、その間の変更は未確認のままになってしまいます。

4. だから、自分で診断するのが一番

そこで私が出した答えは、シンプルです。自分のサイトは、自分で診断する。 これが、いちばん速く、いちばん続けやすい方法です。

自分で診断できれば、次のことが可能になります。

• 変更した直後に、その日のうちに確かめられます
• 見つかった課題を、記憶が新しいうちに直せます
• 直したあとに、もう一度診断して、直ったことを確認できます

ただし、「自分で診断できる」ことと「誰でも好きなサイトを診断できる」ことは、まったく別の話です。他人のサイトに診断をかけると、相手のサーバーに負荷をかけたり、不正なアクセスとして扱われたりするおそれがあります。

そのため、自己診断の仕組みには、診断できるのは自分が管理しているサイトだけという確認が欠かせません。baessa Security Scannerでは、診断を始める前に、security-verify.txt というファイルをサイトのルート直下に置いてもらい、サイトの所有権を確認しています。

5. 年に1回では足りない。「必要な都度」が標準になる

「セキュリティ診断は年に1回」という運用は、長く続いてきました。しかし、サイトの更新と攻撃手法の変化が速い今、年1回の診断だけでは、確認できていない期間が長すぎます。

必要な都度の診断を続けるには、1回あたりの費用と手間が小さいことが前提になります。1回ごとに数十万円かかるなら、毎回は頼めません。1回ごとに数日の準備が必要なら、続きません。

私は、これからの標準は、次のようなスタイルになると考えています。

1. 大きな変更をしたとき、公開前、納品前など、必要な都度、自分で診断する
2. 見つかった課題を、自分で直す
3. 取引先への提出や、客観的な評価が必要な場面では、第三者診断を併用する

自己診断と第三者診断は、対立するものではなく、役割が違います。日常のサイクルを速く回すのは自己診断、節目の客観的な確認は第三者診断、という使い分けが現実的です。

6. 自己診断と改善のサイクルを、安く回すために：baessa Security Scanner

こうした考えから、高度な自己診断と改善のサイクルを、安価に回せるサービス「baessa Security Scanner」を提供開始しました。

攻撃者が使うのと同じ種類の、AIエージェントやセキュリティツールを使って、外から実際にリクエストを送り、脆弱性を探します。専門の知識がなくても、次の流れで使えます。

できること

• アカウント登録は不要：URLを開くと、あなた専用の診断ルームが自動で作られます
• AIエージェントが自動で巡回：OWASP Top 10やIPAの指針を参考に、外から脆弱性を探します
• AI用の修正プロンプトを自動で作成：Claude CodeやCursorなどに貼り付けて、修正案を出してもらえます
• 所有権の確認が必須：自分が管理するサイト以外は診断できません
• 診断データは24時間後に自動削除：レポートは、削除される前に保存してください
• 1回1,000円（税込）の買い切り：月額料金はなく、必要な都度だけ使えます

「必要な都度」を前提にしているので、月額ではなく、1回ごとの買い切りにしています。大きな更新のあと、納品の前、設定を変えた日など、必要なときにだけ使えます。

画面付きの操作手順は使い方ガイド、サービスの特長や料金の詳細はサービス紹介の記事で説明しています。

7. 使う前に知っておいてほしいこと

誠実にお伝えしておきたい点があります。

• 診断は万能ではありません。診断で問題が見つからなくても、「絶対に安全」という意味ではありません。見つけられた範囲での点検結果です
• 診断できるのは、自分が管理しているサイトだけです。他人のサイトや、許可を得ていないサイトには使わないでください
• 稼働中の本番サイトで行うときは、事前にバックアップを取ってください。テスト用のアカウントを用意し、退会・決済・削除に関するURLは、診断の対象から外すことをおすすめします
• 修正案は、そのまま反映せず、自分で確認してください。AIが提案した内容は、テストしてから反映するのが安全です

8. まとめ：診断は「たまにやる行事」から「いつもの習慣」へ

最後に、この記事の要点を整理します。

1. 攻撃する側にもAIが広がり、広く、深く探せる時代になりました
2. サイトの規模が小さくても、被害を受けるのは時間の問題と考えて備える必要があります
3. 重要なのは、診断と改善のサイクルを回す速さです
4. 第三者診断は価値がありますが、手続きに時間がかかるため、日常のサイクルには向きません
5. 自分のサイトは、自分で、必要な都度診断するのが一番速く、続けやすい方法です
6. 年1回の定期診断は、自己診断で補うのがこれからの標準になると考えています

自分のサイトを守る最初の一歩として、まずは一度、外から診断してみてください。