確認できたこと
データベース全体を開けるキーが、サイトのコードに置かれていました。
技術的な詳細
ホームページが読み込む 4 つのスクリプトのうち 1 つ、/_next/static/chunks/app.js で見つかりました。eyJhbGciOiJI で始まる Supabase の JWT（ここでは一部を伏せています）は service_role ロールを持ち、行レベルセキュリティを無視します。Lockpick はブラウザと同じようにスクリプトを読んだだけで、キーは使っていません。
つくった、その次に。公開したままのリスクを知る。
バイブコーディングで作ったアプリ、ウェブサイト、スキル、リポジトリのためのアンチウイルスです。
今年公開された新しい脆弱性は57,871件です。Zero Day Clockのデータに基づくリアルタイムの推計値です。
- 攻撃者の視点で公開ホームページを確認します。誰もが外部から行えるのと同じ方法で確認します。ウェブサイトのスキャンにコードは必要ありません。リポジトリとスキルのチェックは公開コードを読むだけで、決して実行しません。
- 見つかったことを、わかりやすく説明します。各指摘は、確認した内容と、それを悪用されると何が起こりうるかを示します。専門用語は使いません。
- 修正に使えるプロンプトを作ります。Lovable、Bolt、Replit、Cursor、Claude Codeに対応しています。
時計の針は速くなった。
誰もが最初に見るのは、あなたの公開サイトです。
57,8712026年に世界で公開された脆弱性（リアルタイムの推定値）
2.7×前四半期の公開件数は前年同期比、30,000件対11,000件
135公開当日にすでに悪用、2026年上半期
第1位2026年に最も悪用されたカテゴリは、ウェブアプリとプラグインでした。679件中211件
ひとつの指摘を、修正まで。
Pulseスキャンで見つかる問題の例です。このミスはよくあります。
AtlasStudio
おはようございます、Studio
顧客 1,248 件未払いの請求書 37 件
ソースを表示/_next/static/chunks/app.js
- (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
- 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
- var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
- let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
- function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
- },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
- function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
- },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
- var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
- function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
- let i={SUPABASE_URL:"https://db.atlas.example",
- SUPABASE_SERVICE_ROLE_KEY:"eyJhbGciOiJI…"},
- o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_SERVICE_ROLE_KEY);
- function l(){return o.from("customers").select("*")}
- function d(e){return o.from("customers").delete().neq("id",e)}
customersatlas.example を開いた誰でも
| 名前 | メール |
|---|---|
| Mara Quinn | mara@northwind.example |
| Theo Albers | theo@kestrel.example |
| Ines Duarte | ines@fieldnote.example |
ほか 1,245 行1,248 件をすべて削除
Lockpick例
サイトのコードにデータベース管理キー
修正前。Atlas のデータベース管理キーがサイトのコードにあり、サイトを開いた人は誰でも顧客テーブルを開けます。
誰かができること
すべての顧客レコードを読み、変更し、削除できます。パスワードは不要です。
修正プロンプト
コーディングエージェントにそのまま貼り付けられるプロンプトです。キーをローテーションし、サーバー側に移し、テーブルをロックしてから、もう一度チェックしてください。
無料で始められます。さらに必要なら Deep を。
無料
カード登録は不要
- 1サイトにつき、月に5回の無料Pulseスキャン
- ホームページと、その公開DNS、メール、証明書の記録
- 最大10件のリクエスト、通常は15秒以内
- 毎週の自動チェックは、それぞれ1回のスキャンを使用します
- サインイン不要、フォーム送信なし、顧客データは扱いません
Deep
月額 $19、または年額 $190
- 月に 100 回のPulseスキャンと 20 回のDeepスキャン（3サイトあたり）
- 最大 30 ページ、そのスクリプト、およびその背後のAPI
- 週次の自動チェック
- まずサイトの所有を証明
公開されているHTTPSページのみ。テストする許可を得ているサイトだけをスキャンしてください。
スキャン前の質問。
サイトをスキャンしても安全ですか？
はい。Pulseスキャンは、どのブラウザやメールサーバーからも既に見えるものだけを読み取ります。対象はトップページとそれが読み込むファイル、メール送信設定（SPFとDMARC）、セキュリティヘッダーとTLS、そして公開DNS、証明書、サブドメインの記録です。リクエストは最大 10 回です。サインインやフォーム送信は行いません。
コードが必要ですか？
サイトについては不要です。ウェブサイトのスキャンは攻撃者と同じく外側から稼働中のサイトをチェックするため、コードは必要ありません。リポジトリとスキルのチェックは、貼り付けたGitHubリンクの公開コードだけを読み、決して実行しません。
どのビルダーに対応していますか？
HTTPSで公開されているウェブサイトであれば、何で作られていても対応します。各検出結果には、Lovable、Bolt、Replit、Cursor、Claude Codeなどのコーディングアシスタント向けの修正プロンプトが付きます。
Early AI-dopters のメンバーは何を得られますか？
メンバーは、2サイトで月に 10 回のPulseスキャンと、1か月分のDeepを受け取れます。VIPメンバーは、3サイトで月に 20 回のPulseスキャンと、2か月分のDeepを受け取れます。EA AppsのLockpickタイルから請求してください。
いつでも解約できますか？
はい。請求画面からいつでもDeepを解約できます。無料プランには解約するものはありません。