【Shopify最新ニュース2026・開発者向け】AI Toolkit のセキュリティチェックで、アプリの脆弱性を調べる

2026年10月28日

開発者向けの変更です。
Shopify が、アプリの脆弱性（セキュリティ上の弱点）を探す新しいコマンドを紹介しました。
名前は shopify app security check で、AI Toolkit と Shopify CLI（コマンドで操作する開発の道具）に入っています。
掲載は2026年10月15日で、場所は Shopify の開発者向けの Changelog（更新情報）です。

出典: Shopify developer blog「Build with confidence: Shopify AI Toolkit’s security check」2026年10月15日
https://shopify.dev/changelog/blog/build-more-secure-apps-with-shopify-s-ai-toolkit-security-check

フラグは New で、面（Surfaces）は AI Toolkit です。
10月20日の「Securing your app, together」では、開発者への対策の1つ目にこのチェックが挙がっていました。
そちらの全体像は、既報のShopify、全アプリ開発者に「今週中」のセキュリティ対策を要請を見てください。
ここでは、チェックそのものの中身を順に見ていきます。

そもそも、なぜこの道具が出てきたのでしょうか？

原文は、AI がアプリ作りを速くする一方で、攻撃する側も助けていると書いています。
その流れへの守りの1つとして、この道具を出したという説明です。

AI is helping developers build apps and ship faster. But those same capabilities also help attackers find and exploit security gaps with less time, effort, and cost.
（AI は開発者がアプリを作り、早く出すのを助けています。しかし同じ力は、攻撃する側がセキュリティの穴を、より少ない時間・手間・費用で見つけて突くのも助けています）

出だしで原文が置いているのは、店とアプリの信頼の話です。
店はアプリを頼りに商売を回し、注文・顧客・売上の保護をアプリに任せている、という書き方です。

Every app install is an act of trust. Merchants rely on your apps to run their business and trust them to protect their orders, customers, and revenue.
（アプリのインストールの一つひとつが、信頼の表れです。店はあなたのアプリを頼りに商売を回し、注文・顧客・売上を守ってくれると信頼しています）

何を調べてくれるのでしょうか？

調べる範囲は、アプリのコードだけではありません。
原文は、コードベース（アプリのコード一式）、拡張ポイント（extension point・アプリが Shopify に組み込まれる場所）ごとの設定、依存関係（dependencies・アプリが頼っている外部の部品）の3つを挙げています。

The check is built around the most common vulnerability patterns in Shopify apps and looks at everything from your app’s codebase, its configurations across every extension point, and the dependencies it relies on.
（このチェックは、Shopify のアプリで最もよくある脆弱性の型を軸に作られていて、アプリのコードベース、すべての拡張ポイントにわたる設定、頼っている依存関係まで見ます）

動く場所は、あなたの開発機（開発に使っている手元のパソコン）です。
原文は「locally」（ローカルで）と書いています。

It runs locally on your development machine.
（あなたの開発機の上で、ローカルに動きます）

使える範囲は、どこまでなのでしょうか？

特定のフレームワーク（アプリを作る土台の仕組み）には縛られない、と原文は書いています。
理由は、コーディングエージェント（コードを書く AI）があなたのコードを読むからだという説明です。

And because your agent reads your code, the check isn’t tied to one framework. It supports both public and custom apps, whether you use React Router, Rails, Django, Laravel, or custom authentication, it examines how your app actually works and knows what gaps to look for.
（エージェントがコードを読むので、チェックは1つのフレームワークに縛られません。公開アプリとカスタムアプリの両方に対応し、React Router・Rails・Django・Laravel・独自の認証（ログインなどの本人確認）のどれを使っていても、アプリが実際にどう動くかを調べ、どんな穴を探せばよいかを分かっています）

あなたが作るのが public apps（公開アプリ）でも custom apps（カスタムアプリ）でも、対象になります。
原文に並ぶ名前は React Router・Rails・Django・Laravel と、独自の認証です。

どうやって動かすのでしょうか？

動かし方は、AI Toolkit を入れたうえで、コーディングエージェントに頼む形です。
エージェントには、次の一文を伝えるよう原文は案内しています。

/shopify Check my app for common security vulnerabilities
（/shopify よくあるセキュリティの脆弱性がないか、私のアプリを確認して）

この一文で、エージェントが Shopify CLI の shopify app security check を動かす、という仕組みです。
コマンドを直接打つと、エージェントに渡すプロンプト（AI への指示文）と前提の情報が見られます。

This directs your agent to run shopify app security check using Shopify CLI. Run it directly to see the provided prompts and context.
（これでエージェントは Shopify CLI を使って shopify app security check を実行します。直接実行すると、用意されたプロンプトとコンテキストが見られます）

回すタイミングは、アプリの申請の前と、新しいリリースのたびだと原文は書いています。

見つかったものには、何が書いてあるのでしょうか？

見つかった問題（finding）ごとに、3つの情報が付きます。
場所・重大度・直し方の3つで、エージェントにそのまま渡して直していける形だと原文は書いています。

1つ目は影響を受けるファイルと行で、2つ目は重大度（severity）とその問題が困る理由です。
3つ目は、直し方を示すコードの例と、公式ドキュメントへのリンクです。

Each finding includes:
The affected file and line
The severity and why the issue matters
A code example showing how to fix it and deep links to our documentation
（見つかった問題ごとに、影響を受けるファイルと行、重大度と問題になる理由、直し方を示すコードの例と公式ドキュメントへのリンクが付きます）

直す順番も、原文は書いています。
critical（致命的）と high（重大）から手を付け、直したら変更を見直して、もう一度チェックを回す流れです。

Start with critical and high-severity findings. Work through them with your coding agent or fix them yourself, review the changes, and run the check again.
（critical と high の重大度の問題から始めてください。コーディングエージェントと一緒に、または自分で直し、変更を見直して、もう一度チェックを回してください）

直すのはエージェントでも、あなたが自分の手で直すのでもかまわない、という書き方です。
どちらの場合も、変更の見直しまでを1つの流れにしてください。

パートナーの段階では、何が見つかったのでしょうか？

少数のパートナー（Shopify と組む開発者）と一緒にテストしてきたと原文は書いています。
そのパートナーからは、知らなかった脆弱性が見つかったという報告があったそうです。

We’ve been testing it with a small group of partners who reported finding vulnerabilities they weren’t aware of, including gaps in authentication and in how merchant data was isolated across stores…
（少数のパートナーとテストしてきました。パートナーからは、気づいていなかった脆弱性が見つかったと報告がありました。認証の穴や、店ごとに店のデータを切り分ける仕組みの穴も含まれます）

例に挙がっているのは、認証の穴と、店をまたいだデータの切り分けの穴の2つです。
件数や、どのパートナーかは書かれていません。

結果がきれいなら、もう安心してよいのでしょうか？

答えは「いいえ」で、原文ははっきり保証ではないと書いています。
今ある道具やレビュー（人の目での見直し）と一緒に使う前提です。

A clean report isn’t a guarantee of security: use it alongside your existing tools and reviews.
（問題の出ない結果は、セキュリティの保証ではありません。今ある道具やレビューと一緒に使ってください）

見つからなかったことと、穴が無いことは、分けて見てください。
原文の勧めどおり、リリースのたびに回すようにしてください。

道具をよくしていく仕組みは、あるのでしょうか？

道具はオープンソース（中身が公開されたソフト）で、Shopify と開発者が一緒に改善できるようにしたそうです。
意見は Forum（開発者の掲示板）に、改善は GitHub のリポジトリ（コードの置き場）に直接出せます。
出し先は、原文の Forum と GitHub のリンクから見てください。

We made the tool open source so Shopify and app developers can improve it together.
（Shopify とアプリ開発者が一緒に改善できるよう、この道具をオープンソースにしました）

最後に原文は、セキュリティの指針に追いついているアプリが、店とその商売を守るうえで最もよい位置にいると書いています。
既存の対策をまだ取り入れていなければ今がそのときだ、という呼びかけも添えています。

🔴 公式に書かれていないこと

以下は、この Changelog に書かれていません。

費用がかかるか、無料かは書かれていません
どの脆弱性の型を、いくつ調べるかの一覧は、この Changelog には書かれていません
アプリの審査で、このチェックの実行や結果の提出を求めるかは書かれていません
日本のストアや日本語のアプリでの扱いは書かれていません
店主の側でやることは書かれていません
パートナーのテストで見つかった件数は書かれていません
ローカルで動くとき、コードや結果がどこかへ送られるかは書かれていません
原文から張られているドキュメント・GitHub・Forum・security のページの中身は、本記事では読んでいません
🔴 記載が無いことをもって「店に影響がある」とも「影響はない」とも書きません

開発者がやることを並べると、どうなるのでしょうか？

原文に出てくる手順を、順番に並べ直すと次のとおりです。
あなたが開発を外に頼んでいる店なら、担当の方とこの順番を一緒に見てください。

AI Toolkit を入れ、エージェントに /shopify Check my app for common security vulnerabilities と頼む（コマンドを直接実行すると、エージェントに渡すプロンプトと前提の情報が見られる）
critical と high の問題から直し、変更を見直して、もう一度チェックを回す
アプリの申請の前と、新しいリリースのたびに回す
今ある道具やレビューと一緒に使う

🔵 上の手順の並べ方はキクシル編集部の整理で、公式の記載ではありません。店主への影響は、原文には書かれていません。店向けの一文も編集部の整理で、原文は店に何かを求めていません。