Security by DesignでAI生成Webアプリを検証する（インターンレポート）

LINEヤフーのインターン生が、同じ機能要件から9つのWebアプリをGPT-5.5、GPT-5.2、Fable 5.1の3系統で生成し、仕様に含めるセキュリティ要件の粒度で脆弱性がどう変わるかを検証した。Security by Design仕様で目標や脅威、受け入れ基準を明示したケースでは、CSRFトークンの検証や拡張子の制限が実装される傾向が見られた。一方、中身がHTMLのfake.jpgが受理されるなど、ファイルアップロードの内容検証やログ設計、Cookieの本番設定には課題が残った。