案件管理SaaS
認可制御の不備
URLのIDを書き換えると、
URLのIDを書き換えると、
他社の案件が開けてしまった
案件管理のSaaSにおいて、同じアカウントでリクエストのパラメータIDを別の値に書き換えた際に、別の顧客の案件一覧が返却される問題が発覚。
AI時代のリスク
AIで作ったアプリ、本当に安全ですか？
AIでアプリが作れる時代、脅威も多様化する世の中で、
安全な顧客への提供をセキュリティ診断AIが保証します。
AI生成コードの脆弱性は45%※
45%
脆弱性あり 45%
問題なし 55%
※出典：Veracode「2025 GenAI Code Security Report」
AI利用のサイバーリスクが急上昇
- 第1位ランサムウェア攻撃
- 第2位サプライチェーン攻撃
- 第3位 AI利用のサイバーリスク 初選出 圏外→3位
- 第4位脆弱性を悪用した攻撃6年連続
出典：IPA「情報セキュリティ10大脅威 2026（組織編）」（2026年1月）
診断事例
リリース前に、セキュリティエンジニアが第三者診断
セキュリティ専門家による脆弱性の発見事例
案件管理SaaS
AIアシスタント搭載SaaS
プロンプトインジェクション
入力欄からAIの指示を上書きし、
入力欄からAIの指示を上書きし、
他人のデータを引き出せた
社内向けのAIアシスタント機能において、ユーザーの入力からシステム側の指示を上書きし、権限のない他ユーザーの情報や管理操作を引き出せる問題が発覚。
受託開発・文書要約AI
間接プロンプトインジェクション
読み込ませた資料の指示に従い、
読み込ませた資料の指示に従い、
AIが社内データを外に送った
外部から取り込んだ文書をAIが要約する機能において、文書に仕込まれた指示にAIが従い、社内データを外部へ送信できる間接的なプロンプトインジェクションを検出。
診断結果
事業フェーズに合わせて、
事業フェーズに合わせて、
対応優先度を提案
検出した指摘は重大度で仕分けし、いまの事業フェーズに合わせて、どれから直すべきかを提案します。リリース直前なら公開を止める級を先に、運用フェーズなら継続監視でよいものと分けます。再現手順と直し方までつけてお返しするので、全部を平らに並べられて、どこから手をつけるか迷う、ということがありません。
重大度 高（すぐ対応）
中
低・修正済
診断観点
リスクフォーカス型診断で、
リスクフォーカス型診断で、
低コストを実現
OWASP Top 10 や ASVS をもとにした標準的な観点で、ブラックボックス形式で脆弱性を洗い出します。大きく分けると、次のような観点でレビューします。
- ロジックの不備
- 認可制御の不備
- インジェクション全般
- SSRF
- クロスサイトスクリプティング（XSS）
- オープンリダイレクト
- ファイル操作の不備
- セッション管理の不備
- CORS設定の不備
- CSRF
お役立ち資料
Knowledge
料金プラン
明瞭な料金プラン
脆弱性診断
リリース前に、いまの穴を洗い出したい方へ。
- 対象を1つ選んで単発で診断
- AIによる初動＋専門家レビュー
- 修正後の再診断つき
- 報告書（そのまま提出可）
8万円〜（税抜）・対象1つの単発診断
より深く
ペネトレーションテスト
攻撃者の視点で、どこまで侵入できるか試す。
- 攻撃者になりきって侵入を試行
- 認可・権限・攻撃の連鎖を検証
- 重大な指摘は先に共有
- 監査・取引先向けの証跡整備
30万円〜（税抜）・範囲に応じてお見積もり
サポート
専属のサポートが伴走します
指摘の直し方が分からないときは、開発チームと一緒に修正方針を考えます。診断の範囲をどう決めるか、どこまで継続で回すか。そのあたりの設計から相談に乗ります。監査や取引先への説明が要る場面も、まかせてください。
サポート内容を相談する運営会社
会社概要
| 社名 | 株式会社CIVIQ |
|---|---|
| 事業 | AI開発・プロダクト開発 セキュリティ事業（診断・AI利用統制・教育） |
| 所在地 | 東京都目黒区上目黒3-1-10 ヴェルデナポリ203 |