アプリは AI が作った。
漏れていないかは私たちが確かめる。
何百万もの人が、自分で書ききっていないアプリを公開しています。そうしたアプリは API キーを漏らし、データベースをさらし、無防備なまま動いています。URL を貼り付ければ、数秒でセキュリティレポートが届きます。
バイブコーディングのアプリがデータを漏らす 6 つの経路
漏えいした API キーとシークレット
ページとすべての JavaScript ファイルを読み、50 種類以上のキー形式を照合します — OpenAI、Anthropic、Stripe、AWS、Supabase、GitHub、データベース URL など。
Supabase と Firebase のルール
バイブコーディングで最も多い漏えい。バックエンドを特定し、ログインなしで誰でもテーブル・コレクション・ファイルを読めるかを確認します。
認証とセッションの不備
HttpOnly/Secure/SameSite のない Cookie、危険な CORS、安全でないログインフォーム、あらゆる保護をすり抜けるサービスキー。
公開エンドポイントと漏えいファイル
.env ファイル、公開された .git ディレクトリ、データベースダンプ、管理コンソール、公開すべきでない設定ファイルを探します。
CVE とマルウェアのリアルタイム情報
ライブラリとロックファイルを OSV.dev、CISA KEV、EPSS とリアルタイムに照合。さらに毎日増え続ける 960 件以上の読み取り専用 CVE・露出テスト。
AI・MCP・CI/CD のリスク
ブラウザ内の LLM キー、認証のない MCP サーバー、Next.js ミドルウェアのバイパス、GitHub Actions のスクリプトインジェクション。
URL からレポートまで 3 ステップ
- 01
対象を指定
公開中のアプリの URL か、GitHub リポジトリを貼り付けます — 公開リポジトリでも、読み取り専用トークンを使えば非公開リポジトリでも。すべて無料・アカウント不要。
- 02
ライト／ディープなクロール
SafeVibe は訪問者のようにサイトを巡回し、各ページの解析と同時に問題をリアルタイム表示します。サイトの所有を証明すると、ディープスキャンで能動的なプローブが追加されます。
- 03
レポートを受け取る
評価付きのレポートに、深刻度、マスク済みの証拠、各検出に対する具体的な修正方法をまとめます。
毎日進化するスキャナー
SafeVibe はセキュリティテストの恒久的なライブラリを管理しています。既知の脆弱性は決定論的なコードで一度だけテストに変換されます — AI も推測も使いません。ライブラリには 1 時間ごとに、新しいものだけが追加されます。AI は、まだ誰もテストを書いていない脆弱性の調査にだけ使います。
- 1
収集
SafeVibe は 1 時間ごとに、公開されている脆弱性ソースを読み込みます：ProjectDiscovery nuclei-templates、CISA の悪用が確認された脆弱性カタログ、OSV.dev、FIRST EPSS。
- 2
一度だけ変換
各脆弱性は一度だけテストに変換され、台帳に記録されます。サイトを攻撃するもの — エクスプロイト、悪意あるペイロード、総当たり — は永久に却下されます。
- 3
差分で成長
以降の同期では、ソースで新規・変更されたものだけを処理し、削除されたテストを取り下げ、悪用中の脆弱性の情報を更新します。
- 4
新しいものには AI
テストのない新規公開の脆弱性は AI リサーチャーへ、それぞれ一度だけ。すべての提案はスキャンに反映される前にレビューされます。
すべてのテストに安全策
GET または HEAD リクエスト 1 回のみ、ボディなし、攻撃ペイロードなし、製品固有の判定条件、公開前に全テストを実行。
スキャンは賢く
SafeVibe は技術スタック（Next.js、Supabase、WordPress…）を判別し、該当するテストだけを実行します。SPA のフォールバックページを検出として数えることはありません。
リアルタイム情報も
スキャンのたびにライブラリを OSV.dev と照合。悪用中の CVE は優先され、悪用確率（EPSS）順に並びます。
Claude を、価値のある場面にだけ
SafeVibe は Anthropic 公式 SDK を通じて Anthropic の Claude Opus 5.5（モデル claude-opus-5-5）を使い、応答はスキーマで制約しています。役割は 2 つ — そしてテストライブラリがすでに知っていることを再確認することはありません。
AI 脅威リサーチャー
- CISA KEV に新たに追加され、まだテストのない CVE を取り上げ、毎週ウェブでバイブコーディングのスタックに関する新しい脆弱性を探します。
- セキュリティアドバイザリを読み、パッシブなテストを作成します — 安全なテストが作れない場合はその理由を説明します。
- 各 CVE の調査は一度だけ。CVE 番号は実際の検索結果に現れた場合にのみ受け入れます。
- 提案はコミュニティのテストより厳しいルールに従い、公開前にレビューされます。
AI アナリスト
- ルールでは見つからないロジックの欠陥をサイトのコードから探します：ブラウザ側だけの認可、隠れた管理 API、フィルタのないデータベースクエリ。
- 送信前にシークレットをマスクし、サイトの内容は信頼できないものとして扱います（プロンプトインジェクション対策）。
- 検出は、ファイル内に実在するコードを引用している場合にのみ残ります。
- 指摘された API は SafeVibe が認証情報なしで自らテストし、応答が漏えいを裏付けた場合にのみ報告します。
無料、そして責任ある利用のために
すべてのスキャンは無料・アカウント不要です。パッシブスキャンは、どのブラウザでも読み込む内容だけを読みます。ディープスキャンは能動的なプローブを送るため、所有者が SafeVibe の確認トークンを公開したサイトでのみ実行され、サーバーが各ディープスキャンの開始時に再確認します。GitHub リポジトリに確認は不要で、非公開リポジトリにはあなたが用意した読み取り専用トークンを使います。
SafeVibe についての質問
SafeVibe とは何ですか？
SafeVibe は、AI ツールで作られたアプリ（バイブコーディング）向けの無料セキュリティスキャナーです。公開中のウェブサイトや GitHub リポジトリを解析し、漏えいしたシークレット、公開状態のデータベースルール、脆弱なライブラリ、既知の CVE、危険な設定を検出して、それぞれの修正方法を説明します。
SafeVibe は無料ですか？
はい。すべてのスキャンが無料でアカウント不要です：ウェブサイト、自分のサイトのディープスキャン、公開・非公開の GitHub リポジトリ。
SafeVibe は何をチェックしますか？
漏えいした API キー（OpenAI、Anthropic、Stripe、AWS、Supabase…）、Supabase の Row Level Security と Firebase のルール、Cookie と CORS、.env や .git などの漏えいファイル、管理パネル、脆弱な JavaScript ライブラリ、960 件以上の CVE・露出テスト、GitHub Actions のリスク、悪意ある npm パッケージ。
自分のサイトをスキャンしても安全ですか？
はい。ライトスキャンはブラウザがもともと読み込む内容だけを読みます。ディープスキャンは読み取り専用のプローブを送り、meta タグ、/.well-known ファイル、DNS レコードのいずれかでサイトの所有を証明した後にのみ実行されます。データを変更したり攻撃ペイロードを送ったりするチェックはありません。
非公開の GitHub リポジトリもスキャンできますか？
はい。そのリポジトリに読み取り専用でアクセスできる GitHub の Fine-grained トークンを作成し、スキャナーに貼り付けてください。トークンは HTTPS のリクエストボディで送信され、スキャン中だけメモリ上で使われ、保存やログ記録は一切されません。
SafeVibe はどうやって最新の状態を保っていますか？
1 時間ごとの同期で公開検出テンプレートと CISA の悪用済み脆弱性リストを読み込みます。各脆弱性は一度だけテストに変換されて恒久的なカタログに入り、新規・変更されたものだけが再処理されます。
SafeVibe は AI を使いますか？ 私のコードはどう扱われますか？
AI（Anthropic の Claude）はバックグラウンドで最新の脆弱性を調査します。スキャン中の AI アナリストは任意で、既定ではオフです。有効にした場合、クライアント側コードを送る前にシークレットをマスクし、AI の検出はすべてコードと照合して検証します。