318の脆弱性がどのように見えるか

VibeWrenchが100のバイブコーディングアプリ（2026年）をスキャンした結果：

Wiz Research（2025年）：バイブコーディングアプリの20%に深刻な欠陥が出荷されています。ETH Zurich BaxBench（2025年）：AI生成コードの45%にOWASP Top 10の脆弱性が含まれています。

対象範囲

22の階層化チェック：

1. APIゲートウェイのレート制限＋有料APIルートの認証
2. Webhook署名検証（raw body、Stripe/Clerk/Resend）
3. ユーザー入力をシステムプロンプトに直接連結しない
4. パラメータ化されたDBクエリ（Supabase/Prisma）
5. AI出力の注入前のHTMLサニタイズ
6. APIキーをクライアントバンドルに含めない（NEXT_PUBLIC_*/VITE_*）
7. すべてのLLM呼び出しにmax_tokens＋タイムアウト＋カナリー
8. 汎用的なプロダクションエラー、スタックトレースリークなし
9. RAG/検索フィルターをDBレベルでtenant_idにより適用
10. Action Guard — 変更ツールにはサーバーサイドの権限再確認＋冪等性が必要
11. サーバーセッションからのID、リクエストボディ/ヘッダーからは決して取得しない
12. すべての/[id]ルートでの所有権チェック（BOLA / IDOR）
13. すべての公開テーブルでSupabase RLSを有効化
14. アトミッククレジット控除＋サインアップキャプチャ＋メール正規化
15. 構造化ロガーと秘匿化、console.log(req.body)禁止
16. .env*を.gitignoreに含め、かつgit履歴に存在しないこと
17. 幻覚/タイポスクワッティングされたnpm依存関係
18. ユーザー入力に対するpickle.loads / eval / yaml.load / Function() / shell:true禁止
19. ミドルウェアのカバレッジがすべての保護ルートと一致
20. サーバーサイドのゲーティング、クライアントuseEffectリダイレクトだけではない
21. 状態変更リクエストに対するCSRF保護（70%のアプリが見逃している）
22. セキュリティヘッダー（CSP, HSTS, X-Frame-Options）＋Cookieフラグ＋TLS強制

各チェックの完全な手順：references/checks.md

インストール

ワンライナー：

または手動：

その後、任意のClaude Codeセッションで次のように尋ねます：

アプリのセキュリティ問題を監査して

または直接呼び出す：

/cso-vibecheck

クイックトリアージモード

最も深刻な5カテゴリ（クライアント内のキー、IDOR、RLSオフ、.env露出、リクエストからのID）を30秒でスキャンする場合：

その後、Claudeに尋ねます：

/cso-vibecheck quick scan

出力

構造化されたMarkdownレポート、以下を含む：

• 判定：BLOCK SHIP | SHIP WITH FIXES | CLEAR
• P0 / P1 / P2 / N/Aのカウント
• 各発見事項：層、チェック番号、file:lineの証拠、平易な英語での説明、関連インシデント、1文のエクスプロイト、コピペ可能な差分修正
• 推奨される次のアクション
• 追加すべきCIツール（gitleaks, socket.dev, Supabase Advisor）

正確なテンプレートはreferences/report-template.mdを参照してください。

参考

• OWASP LLM Top 10 (2025)
• OWASP Top 10 for Agentic Applications (2026)
• Wiz Research: 20% of vibe apps risky
• Escape Tech: 2k+ vulns across 5,600 apps
• Moltbook hack writeup
• Lovable security crisis (TNW)

ライセンス

MIT