公開済みのAI製アプリ約9,700件を解析した、自社による予備調査の結果です。多くが「動いている」一方で、誰でも触れてしまう穴を抱えていました。
公式が用意した「お手本リポジトリ」では、事故はほぼ見つかりませんでした。穴が集中していたのは、実際に作って世に出したアプリのほう。動かすことと、安全に出せることのあいだには、まだ距離があります。
データが誰でも書き換えられる
アクセス制御が設定されておらず、本来は本人しか触れないはずのデータに、第三者が読み書きできてしまう状態。この状態は、AI生成ツールがSupabaseのアクセス制御（RLS）を初期設定のまま公開してしまうことで起きます（firebase や BaaS なしの構成ではほとんど見られませんでした）。
危険なコードパターン
入力をそのまま信用する処理など、悪用されうる書き方が残っているもの。動作はしても、攻撃の入口になりえます。
秘密情報の露出
APIキーや接続情報といった「鍵」が、公開される場所に含まれている状態。第三者がそれを使えてしまいます。
methodology ── 公開済みのAI製アプリを対象に、自社で予備的に解析（N=3,970／supabase×lovable）。割合は概数で、安全性を保証するものではありません。検出されない問題が残る可能性があり、個別のサービス名は含みません。