仕様書とコードを突き合わせ、
1機能分の仕様書とコードで試せます
経費精算システム仕様書 v3.2
expense-api（Go）
$ atlas check --spec 仕様書_v3.2.pdf --repo expense-api
仕様書から作った項目で
バグバウンティ世界1位
検知を逃れるため
攻撃者がAIを効率化だけでなく、新しい攻撃手法の開発に使い始めていることが観測されています。
公表された被害報告をもとに、
サイバー被害の記録
攻撃を受けた企業で、
海外・物流
2023年、英国の老舗運送会社がランサムウェア攻撃を受けた。社員のパスワード1つを推測されたことが侵入のきっかけとされる。業務システムとデータを失って事業を立て直せず、会社は破綻。約700人が職を失った。
海外・自動車
2025年9月、英国の大手自動車メーカーが攻撃を受け、生産を停止。再開まで5週間以上かかり、部品メーカーなど5,000社以上に影響が広がった。英国の調査機関は、英国経済全体の損失を約19億ポンド（約3,800億円）と推計し、英国史上最も損害の大きいサイバー攻撃とした。
製造
2026年9月、部品メーカーで第三者による不正アクセス。発注・部品受注のシステムと取引先とのメールが止まり、受注はFAXでしのいだ。
止まってから取り戻すには、
だから、攻撃される前に
出典：2026年9月30日公表資料／Tom's Hardware（英国運送会社）／ITPro（英国自動車メーカー、Cyber Monitoring Centre推計）。円換算は1ポンド=200円。各事例は、Atlasの診断で防げたことを示すものではありません。
診断の翌日に入れた改修は、
年1回の診断では、
攻撃者のAI
年1回の診断
Atlasの継続診断
改修で入った同じ「穴」。
穴の例改修のミスで、
攻撃者のAIが先に見つけたら
被害が出て、
Atlasが先に見つけたら
被害が出る前に、
攻撃者の目線をAIで先回りし、
診断エンジンには、
想定する相手を決め、起こりえない指摘を減らします。
「〜しなければならない」を、確かめられるチェック項目に変えます。
守れている根拠を示せない箇所を、候補として抜き出します。
到達しないコード・信頼の境界・対象範囲の3つの関門で絞り、担当者が全件確かめてから報告します。
穴を1つ見つけて終わりにしません。
脆弱性の名前を並べるのではなく、「誰が、何をすると、何が起きるか」で書きます。専門家でなくても、事業への影響がすぐ分かります。
approve.go L128修正方針 承認者と申請者が同じ場合は、承認を拒否する
表示内容は説明用のサンプルです。
攻撃者は、見つけた手口を似たシステムに次々と試します。Atlasはそれを先回りし、同じ作りのほかのシステムにも同じ穴がないか確かめます。
SPECAの論文では、有効と判定された指摘の多くがこの横展開から見つかっています。
修正が正しく入ったかを確認します。継続診断なら、GitHubなどの開発環境とつなぎ、改修のたびに変わった部分を診断し直します。
10/28決済画面の改修問題なし10/31ログイン処理の変更問題なし11/02API連携を追加新しい候補 1件11/03修正を反映解消を確認脆弱性診断 報告書
対象：経費精算システム ／ 診断期間：5日間
1. 攻撃シナリオ（重大度順）
根拠: 仕様書 §4.2 ／ approve.go L128
表示内容は説明用のサンプルです。
冒頭で事業への影響と優先順位を要約し、後半で根拠となる仕様書の箇所、該当するコード、修正方針を示します。経営層への説明と、開発者・ベンダーへの改修依頼を、同じ資料で進められます。実際の構成は、資料に同封しているサンプルでご確認いただけます。
まずはスポット診断で、
1回の診断
1つのシステムの現状を、
個別にお見積り
まずは1機能分を無料で試せます攻撃シナリオ例つきの簡易報告
秘密保持契約を結んだうえで、1機能分の仕様書とコードをお預かりし、仕様から作ったチェック項目、見つかった候補、攻撃シナリオの例を簡易報告としてお返しします。対象の範囲と期間はヒアリングで決めます。
一般的な脆弱性診断は、契約した手法と対象範囲に沿って、外部からの試験やコードレビューなどを行います。Atlasセキュリティは、仕様書から貴社固有の業務ルールを作り、実装とのずれを確認する点が特長です。既存の診断と併用できます。
はい。報告書は経営層向けの要約と開発者向けの詳細に分け、何が起きうるか、どう直すかが分かる形でお渡しします。
変更は不要です。セカンドオピニオンとして、現在の体制に加えてご利用いただけます。報告書はベンダーにそのまま共有できます。
いいえ。AIの候補を3つの関門で絞り込み、通過した報告候補は担当者が全件確認します。そのうえで、報告対象と判断した候補だけをお伝えします。
秘密保持契約を結んだうえでお預かりし、診断後は取り決めに従って削除します。
はい。まず仕様書と実装の差分、診断対象を整理します。情報が不足する場合は、ヒアリングで補う範囲と対象外を事前に合意したうえで進めます。
SPECAは診断の道具です。想定する相手の整理、仕様書の準備、AIの指摘の確認、修正方針のご提案は、経験のある担当者の仕事です。この一連の作業をまとめてお引き受けします。