公式サイトのAIペネトレーションテストでAikidoの評価A（Excellent）を確認

公開・未認証範囲の診断結果と、セキュリティ向上に向けた取り組みを公表

株式会社世良は、公式Webサイトのセキュリティ確認の一環として、AikidoのAIペネトレーションテストを実施し、当該診断レポートにおける評価A（Excellent）を確認しました。公開・未認証の対象範囲において、Critical（緊急）・High（高）・Medium（中）の指摘はいずれも0件、Low（低）の設定改善事項が1件という結果でした。

今回の結果を、公式サイトをご利用いただく皆さまへの安心材料としてお知らせするとともに、指摘を受けた設定の改善や、コード・依存ライブラリの確認についてご報告します。

AIペネトレーションテストの実施概要

ペネトレーションテストは、想定される攻撃を通じて、システムの弱点が実際に問題につながるかを検証する手法です。今回利用したAikido Pentest
https://help.aikido.dev/pentests/aikido-pentest
は、AIエージェントがアプリケーションの機能を調べ、攻撃シナリオの検証と結果の報告を行うサービスです。

Aikidoは、対象の把握、攻撃シナリオの実行、検出候補の検証、報告という流れで診断します。検出候補を別のAIエージェントでも検証し、誤検知を減らしながら重大度と改善方法を整理する仕組みです。今回の報告書にも、OWASPのテストガイドなどを参照した体系的な方法論が示されています。

当社ではソースコードも参照できる形で、公式サイトと関連機能のうち、ログインせずに利用できる公開範囲を中心に診断しました。報告書には、不正な入力、認証・アクセス制御、情報の取扱い、セキュリティ設定などの確認領域が示されています。

通常のサイト運営への影響を避けるため、実際の問い合わせ・応募の送信、決済、データ変更などを伴う操作は対象外としました。今回の結果は、この範囲と条件に基づくものです。

診断結果と指摘事項への対応

Critical（緊急）：0件

High（高）：0件

Medium（中）：0件

Low（低）：1件

診断レポートの結果概要（2026年10月22日発行）。「Unresolved 1／Solved 0」は診断時点の対応状況であり、後述の設定改善後に再診断した結果ではありません。

Lowの1件は、ブラウザの追加防御を定める「Content Security Policy（CSP）」の設定に関する指摘でした。今回の報告書では、この指摘について情報漏えいや不正操作の成功が報告されたわけではありません。

指摘を受け、公開サイトにCSPの基本的な保護設定を追加し、本番の応答に反映されていることを確認しました。より厳しいスクリプトの読込み制限については、既存機能への影響を調べる監視モードで確認しています。基本設定の反映と、すべての制限を強制することは段階を分けて進めています。

評価Aは今回の診断レポートに記載された評価であり、修正後の再診断による評価ではありません。Aikidoによる再診断は実施していないため、今回の指摘がAikido上で解決済みと判定されたものではありません。

ソースコード・依存ライブラリのセキュリティ検査

Webサイトの安全性には、自社で記述したコードに加えて、利用するライブラリやアクセス権限の設定も関係します。当社では、外部から動作を検証するAikidoに加え、コードや設定を調べるセキュリティ検査を組み合わせています。

診断当日に確認した依存関係検査の表示では、64パッケージに対する既知の問題は0件でした。これは当該検査の表示時点の結果であり、その後の変更や将来公表される脆弱性まで問題がないことを示すものではありません。使用する依存ライブラリの更新と、不要な機能・依存関係の削減にも取り組んでいます。

コードの詳細解析（ディープスキャン）では、アクセス権限、入力の扱い、認証、決済など、アプリケーション固有の処理を調べ、外部からの動作検証だけでは捉えにくいコード上の懸念を確認しています。こうしたコード検査と、稼働サイトに対するペネトレーションテストは、それぞれ異なる観点から安全性の確認を補います。本記事の重大度別件数はAikidoの今回の診断結果です。

あわせて、データを扱う権限を必要な範囲に限定する設定を見直し、既存の閲覧機能が動作することを確認しました。コード上でも、重要な処理を実行する前の権限確認、署名と有効期限によるリンクの検証、通知文に含める入力値の適切な処理などを確認しています。画面上の表示だけに頼らず、処理を受け付ける側で制御することを重視しています。

継続的なセキュリティ向上に向けて

今回、公開・未認証の診断対象範囲でCritical・High・Mediumの指摘がなかったことは、公式サイトの運営における良好な確認結果と受け止めています。同時に、ログイン後の全機能や、対象外とした処理まで安全性を保証するものではありません。

世良は、診断で得られた結果と実際に適用した対策を区別して記録し、日々の更新や運用の見直しに活かしてまいります。利用者の皆さまにとって必要な情報を分かりやすくお伝えしながら、安心してご利用いただけるWebサイトづくりに取り組んでまいります。

お問い合わせ：株式会社世良
電話：03-3793-8938

公式サイト掲載日：2026-10-22

掲載時点の情報を転載しています。

元記事：
https://sera-inc.co.jp/news/aikido-security-assessment-20261022