AI時代の個人開発とセキュリティレビューへの向き合い方
はじめに
平日はITエンジニアとして働きながら、「自分が本当に作りたいもの」を作れるようになるため日々個人開発しています。最近はAIを活用した、いわゆるVibe Coding 的なスタイルでスピードを重視して開発していました。
(仕様は最初に決めますが、、、)
そんな中、最近作った個人利用しているアプリについて、ふと気になりました。
このアプリ、本当に安全だろうか？
今回は、AIを活用して個人アプリをセキュリティレビューし、改善したプロセスについてまとめます。
個人開発で起こりやすい「構造的な落とし穴」
個人開発では次の流れになりがちです。
- まず動くものを作る
- 画面を整える
- 公開する
- セキュリティは「なんとなく大丈夫」で止まる
業務では当たり前に行っているレビュー工程も、個人開発では抜け落ちやすい構造があります。
Codexにコードを通してみた結果
Codexへ自分が作ったアプリのコードレビューを依頼すると、主に次のような指摘がありました。
- XSSの可能性
- 開発途中で公開→非公開に仕様を変更したためAPIの権限の不備
- セキュリティヘッダー未設定
- consoleでのブラウザへの情報の流出
思ったより、セキュリティで考慮できていない観点が多くびっくりしました。
vibe codingで動くものは簡単に開発できるようになった一方、このようなバグや不備が多く発生してしまうのだなと思いました。
知識として理解していた内容でも、「実装として完全に閉じているか？」と問われると改善余地が見つかりました。
今回行った改善プロセス
① 原理を理解する
いきなり修正はせず、まず以下を整理しました。
- どのようなセキュリティの不備があるか
- 原因と解決策は何か
- どのような実装をする必要があるか
AIに壁打ちしながら納得できるまで理解します。
(最近はChatGPT5.2を壁打ちで利用しています。)
② 理解してから実装する
理解が曖昧なまま修正すると「表面的なパッチ」になりがちです。原理を押さえたうえで、コードの修正を行いました。
③ 複数AIでクロスチェック
すべてセキュリティ対策の実装をした上で、Copilot(Claude sonnet4.5) でも再レビューしました。AIごとに指摘観点が違い、単一AIに依存しないことの重要性も感じました。
今回の気づき
- AIを活用すると、想像以上に自分だけでは見落としがちなセキュリティ観点に気づけるということです。新しい技術を学び、モノにしていく必要性を感じました。
- 個人開発でもレビュー工程は省略すべきではない。作るだけが開発ではないことを再認識しました。
- 最近個人開発で「理解 → 実装 → レビュー」の流れを重要視してきました。これをそのままセキュリティの文脈でも活かせると実感できたことは非常に収穫した。
おわりに
個人開発ではスピードを優先しがちですが、今回あらためて「安全に作る」という視点の重要性を再確認しました。AI時代の個人開発では、安全に、そして速く作ること。その両立が価値になると感じています。