バックエンドの無い静的ツールを監査したら、穴は「人からもらうファイル」だった

前回の記事では、AIに作らせた Next.js アプリの監査で Critical が 2 件出ました、という話が書かれた。レート制限、入力検証、セキュリティヘッダ——要するに「バックエンドで入口を守るコード」がAIに書かれていなかったのだ。今回はその正反対のツールが監査されている。App Store のスクショを作る小さいツールで、サーバーなし、データベースなし、ログインなし、外部通信なし、index.html 1 枚だけ。画像をドロップして、編集して、書き出したら終わり。

この手のツールは「セキュアだ」と多くの人が思う込む。バックエンドがなければ、データが盗まれる心配もなく、サーバー攻撃を受けることもないと。その通りなのだが、落とし穴がある。穴は「人からもらうファイル」だった。ユーザーがアップロードする画像の取り扱いだ。クライアントサイドだけで処理するとき、メモリ使用量の制限がなければ、超大容量ファイルで環境をクラッシュさせられる。画像フォーマットの検証が甘ければ、悪意のあるバイナリを処理させられる。「バックエンドがない」という設計上の安心感が、実はユーザー入力の検証という基本を忘れさせている。

中小企業で無料ツールを社内に導入するとき、サーバーレス・バックエンドなしだから安全だと判断してしまう傾向がある。だが、どのツールであれ、ユーザーがデータを渡す以上、そのデータの受け取り側が何をするかは常に問題だ。手軽さと安全性は別物で、むしろ手軽で広まるツールほど、入力の扱いに慎重であるべき。その審査を、技術者ではなく経営層が見落としやすいのが実務の盲点である。