セキュリティ確認

連携済みのソースコードを調べ、秘密情報の直書き・入力の検証漏れ・認可の抜け・危ない関数の使い方などのセキュリティ上の問題を、根拠の箇所と重大度つきで洗い出します。似た Issue を確認したうえで、選ばれたものを不具合として登録します。登録した不具合は、後日エラー対応が引き取って対応します（この回では引き渡しません）。コードの修正はしません。

保守・運用の工程で使うエージェントです。

このページは2026年10月23日時点の内容です。ほかのエージェントは標準カタログの一覧で確認できます。

こんなときに使う

リリースや診断の前に、ソースコードのセキュリティ上の問題を洗い出したいとき
秘密情報の直書きや認可の抜けがないかを確かめたいとき
見つけた問題を、対応の順番がつけられる形でIssueにしたいとき

できること

秘密情報の直書きの検出
入力の検証漏れ・インジェクションの確認
認証・認可の抜けの確認
危ない関数・設定の確認
Issue の登録（似た Issue の確認つき）

事前に用意しておくもの

連携済みのソースコードを調べます。ソースコードが連携されていないときは、その旨を伝えて終えます。

成果物	扱い	作るエージェント
連携済みのソースコード	調べる対象です。依頼で範囲（リポジトリ・ディレクトリ・機能）を指定すると、その範囲だけを調べます	ソースコードを連携する
不具合・問合せのチケット	見つけた問題と同じ・似たチケットが既にないかを確かめます	不具合・問合せ管理

依頼の例

AIポータルで、次のように依頼します。

ソースコードのセキュリティ上の問題を洗い出して、Issue にしてください。
認可の抜けが無いか、API の入口を調べてください。

そのほか、次のような依頼もできます。

決済まわりのディレクトリだけを対象に、セキュリティ上の問題を洗い出してください。
APIキーやパスワードが、ソースコードや設定ファイルに直書きされていないか確認してください。
利用者が入力した値をそのままSQLに組み立てている箇所がないか調べてください。
CookieのSecure・HttpOnly・SameSite属性や、CORSの設定が緩すぎないか確認してください。

仕上がりの確認ポイント

報告と登録したIssueは、次の点を確認するとよいでしょう。

見た範囲: 報告の最初に、OWASP Top 10（2021）の各項目について、ソースコードを読む方法で「見る / 部分的 / 見られない」を表で示します。設計の妥当性や既知の脆弱性など、見られない項目とその理由も分かります。この確認はセキュリティ診断の代わりにはなりません。
重大度と根拠: 見つけた問題には、影響・重大度（高・中・低）・直し方の方向・当たるOWASP Top 10の項目と、根拠の箇所（ファイル名と行番号）が添えられます。確かめきれないものは「（要確認: 〜）」として分けて書かれます。
登録の前の確認: 見つけた問題を並べ、どれをIssueにするかを選んでもらいます。似たチケットがあるときは、新しく登録するか、そのチケットにコメントで追記するかも選べます。登録したチケットの件名は「【セキュリティ】」で始まります。
登録後の対応: 登録したチケットは、この回では担当に引き渡しません。対応はエラー対応が別の回で引き取ります。