1回の監査ではありません。規律です。

最新の監査の対象範囲

まず範囲、方法、限界。エージェント数はその後。

2026年9月25日付の最新のコア監査より。エージェント数は監査がどれだけ忙しかったかを示すもので、どれだけ優れていたかを示すものではありません。そこで、この監査が実際に何をしたかを示します。

コード

1つの固定コミット時点のコアパッケージ（162ファイル、17,362行）と、各経路が稼働中かどうかを判断するのに必要なゲートウェイのコード。

アクセス

全ソースコードと、マイグレーションから新規構築したデータベース。本番データベースではありません。本番環境のみの設定は未検証とし、後から私が確認しました。

方法

4人のレビュアーがそれぞれ1つのレイヤーを全体にわたって読みました。リードがすべての指摘をファイルと照らし合わせて読み直し、タイミングやパターンに関する主張はすべて実際に実行してから、カウントしました。

重大度

HIGHは、稼働中の経路での危機の見落としやサービス拒否、テナント間の漏洩、または金銭的損失を意味します。中程度は、フェイルオープンするガード、何もないところから生まれるクレジット、またはデータが警告なく欠落することを意味します。すべての指摘には、live（現時点で本番環境から到達可能）か latent（到達不可能）かの区別も付けています。

意見の不一致

リードが再現できなかった指摘は、除外するか未検証とし、平均に含めることはしませんでした。

結果

HIGH 2件、中程度13件の指摘。すべて同日に修正し、それぞれに旧コードで失敗するテストを付け、CIでフルスイートを再実行しました。

対象外

翻訳された安全関連文字列約7,000行の正確性、本番データベース、Webサーバー設定、そして未解決のまま残っている低重大度の指摘17件。

私が指揮したAIレビュアーによる自己実施のもので、独立した第三者による保証ではありません。

実施サイクル

何度も繰り返し攻撃し直しました。以下のテナント間の指摘はすべて監査で発見したもので、顧客から報告されたものではなく、修正済みです。

✓ 最重要資産は全ラウンドで保持されました。分離 · 資金 · ガバナンス · SSRF · トークンドメイン

実在するもののうち 3 つ

レンズの範囲は、分離 · 認証 · インジェクション · 金銭 · ガバナンス · 予約 · チャネル · 自律型レジデント · データ権利（GDPR/PECR） · サイトジェネレーター · フロントエンド · 運用 に及びます。毎回のラウンドの判定：残存する critical はゼロ。テナント分離と XSS の攻撃面は問題なしという結果。稼働中の認証バイパスはなし：確認されたエッジケースはすべて修正し、再デプロイしました。

正直な数字

すべての数値に、最初から但し書きを添えています。

多くの開発者は話を盛ります。実在しない部分に感心されるより、実在する部分を信頼してもらいたいと思っています。

このシステムが誠実なのは、設計した人間が誠実だからです。最初からそうなるようにしました。後付けではなく、組み込みで。