# Bolt vs. Replit vs. Lovable：アプリのセキュリティは誰が確認するのか？

Cyfendo · 2026年10月20日

3つのプラットフォームはいずれも現在、アプリのセキュリティ問題をスキャンしますが、その結果に対する責任はいずれもアプリの所有者に委ねています。Lovableは公開時にデータベースのルールと依存関係をスキャンし、依頼に応じてより詳細なコードレビューも提供します。Boltは公開時に確認を行い、有料プランでは、ほとんどの問題を自ら修正する完全な監査を実行します。Replitはパッケージに既知の脆弱性がないかを確認し、有料プランではソースコードをレビューするほか、実行中のアプリをテストすることもできます。LovableとReplitのドキュメントは、いずれも自社のスキャンは完全なセキュリティレビューではないと述べています。

## 各プラットフォームの確認内容

この比較は、2026年10月時点の各プラットフォームのドキュメントに基づいています。これらの機能は頻繁に変わるため、細部に依拠する前にリンク先のページを確認してください。

| 確認項目 | Lovable | Bolt | Replit |
|---|---|---|---|
| 公開時の自動確認 | クイックスキャン：データベースのアクセスルール、npmの緊急レベルの脆弱性、サインインなしで露出しているMCPサーバー | 公開時のセキュリティチェック | 公開前の軽量スキャン |
| より詳細なレビュー | Securityビューから開始する、全コードのディープスキャン | Publishメニューから実行する、コードとデータベースのセキュリティ監査（有料プラン） | Security Agentがソースコードをレビューします（有料プラン）。さらに上のレベルでは実行中のアプリもテストします |
| 修正 | 検出事項ごとの修正。データベースと依存関係の緊急レベルの検出事項には自動修正も選択可能 | ほとんどの問題を自ら修正し、残りを一覧表示します | 検出事項をAgentに送信できます。Auto-Protectが依存関係のパッチを準備します |
| 公開をブロックできるか | はい（ワークスペース管理者が有効にした場合） | ドキュメントに記載なし | はい（緊急レベルの検出事項について、設定がオンの場合） |
| サードパーティの選択肢 | WizおよびAikidoとの連携（別料金） | ドキュメントに記載なし | ドキュメントに記載なし |

出典：[Lovableのセキュリティドキュメント](https://docs.lovable.dev/features/security)、[Boltのリリースノート](https://support.bolt.new/release-notes)、[Replitのセキュリティスキャナードキュメント](https://docs.replit.com/replit-workspace/workspace-features/security-scanner)。

## 各プラットフォームが述べている限界

- **Lovable**は、自社のツールでは完全なセキュリティを保証できないとし、機密データを扱うアプリには専門家による追加のレビューを推奨しています。ある研究者が170のLovableアプリでデータベースが露出していると報告した際（CVE-2025-48757）、Lovableは、各顧客が自分のアプリのデータに責任を負うという理由でこのCVEに異議を唱えました。
- **Replit**は、スキャンは完全なセキュリティレビューではなく、コードレビュー、テスト、実行中のアプリの確認と組み合わせるべきだとしています。
- **Bolt**は、自社の監査がほとんどの問題を修正し、自分で対応する必要があるものについては知らせるとしています。

どのスキャナーも、読み取れる場所に書かれていない限り、アプリのビジネスルールを知ることはできません。たとえば、どのユーザーがどのレコードを見てよいか、どの操作にどのロールが必要か、といったルールです。スキャナーは、アクセスルールのないテーブルなら見つけられます。しかし、ポリシー上は技術的に許可されている場合に、チームマネージャーが別のチームのレコードを見ていることは判別できません。

## 残るギャップ

- **確認は主に公開時に行われます**。AIエージェントは公開から次の公開までの間にデータアクセスを何度も変更できます。また、早い段階で入り込んだ問題が、誰かがスキャンするまで何日もアプリに残る可能性があります。
- **プラットフォームは自身の成果物をレビューしています**。同じプラットフォーム、多くの場合は同じエージェントが、コードを書き、スキャンし、検出事項を修正します。別のレビュアーを加えれば、セカンドオピニオンが得られます。
- **スキャンでは、検出事項が実際に悪用できるかどうかはわかりません**。スキャンが報告するのは、リスクがありそうに見えるコードです。攻撃者がそれを悪用できるかどうかは別の問題であり、その答えによって何を先に修正すべきかが決まります。この問いにどう答えるかは、[悪用可能性の検証](/blog/what-is-exploitability-validation)に関する記事で解説しています。

## Cyfendoの位置づけ

Cyfendoは、各プラットフォームのコネクタ設定を通じて3つすべてに接続します。接続すると、サインイン、権限、データアクセス、決済、アップロード、APIルート、シークレットを変更するタスクごとに、エージェントがCyfendoに確認を依頼します。Cyfendoは、変更されたコードに対する攻撃を隔離されたサンドボックス内で再現しようと試み（アプリがSupabaseを使っている場合は、2人のテストユーザーを持つ代替のSupabaseを使用します）、再現できた問題を修正手順とともに報告します。

各プラットフォーム自身のスキャンも引き続き実行してください。セットアップガイド：[Lovable](/docs/integration/lovable)、[Bolt](/docs/integration/bolt)、[Replit](/docs/integration/replit)。

Source: https://cyfendo.com/ja/blog/bolt-vs-replit-vs-lovable-security