全サーバーをClaude Codeに1日で監査させたPieter Levels氏の線引き

複数のWebサービスを一人で運営するPieter Levels氏が、持っているVPSとサイトの全部をClaude Codeに1日かけてセキュリティ監査させたと、10月25日付で自分のブログに書いた。同氏は9月から10月にかけて、有料のSaaSを自作に置き換えた記録も公開している。並べて読むと、何を自分で持ち、何を外に任せ続けるかの線引きと、自分で持つと決めたサーバーの守り方が、ひと続きの判断になっている。

全サーバーに同じ依頼を入れる

Levels氏は「levels.io」の作者で、一人で複数のWebサービスを運営し、運用の判断や数字をブログで明かしてきた起業家だ。10月25日付の全VPSをClaude Codeに監査させた記録によると、同氏は持っているVPSとサイトの全部で、Claude Codeに「Do a full security audit of this website and server」という同じ依頼を打ち込み、丸1日を使った。

記事には、対象のサーバーが何台あったかも、監査で何が見つかったかも書かれていない。分かるのは、1台ずつ同じ依頼を入れて回ったという手順と、それに1日かかったという規模だけだ。どのサーバーにも同じ文を使っている点も特徴だ。依頼の文は短く、特定の弱点を名指ししていない。何を調べるかの見立ても含めて、Claude Codeに任せた形になっている。

侵入されても広がらない形にする

監査と合わせて、Levels氏は各VPSを「Tailscale」（端末どうしを私設のネットワークでつなぐサービス）に入れ、そのアクセスのポリシーもClaude Codeに作らせた。狙いは、1台が乗っ取られても、ほかのVPSに届かないようにすることだ。本人のMacBookやiPhoneにも、自分から話しかけない限り届かない設計にしたと書いている。監査で穴をふさぐだけでなく、ふさぎ損ねた穴があっても被害が1台で止まるように、もう一段の備えを置いたことになる。

サーバーの中でも権限を分けている。Webサービスは「www-data」という専用のユーザーで動かし、root（管理者）の権限では動かさない。もともとUbuntuの自動更新「unattended upgrades」と、更新後の自動再起動も入れていた。再起動は4分で済むので、数週間に1回なら問題ないという。

Levels氏はこうした作業を「Not the most fun stuff but essential」と書き、楽しくはないが欠かせないとした。監査は1回で終わらず、定期的に繰り返す必要があるという立場だ。

SaaSを自作のサービスに替える

守っているサーバーの上では、もともと外のSaaSに払っていた機能の多くが動いている。9月9日付のSaaSを自作に置き換えた記録で、Levels氏は有料のSaaS約14項目を自作のサービスに替え、月約2万5000ドルを節約したと見出しで書いた。ただ、本文に並んだ項目ごとの削減額を足すと約2万750ドルで、差の説明は無い。

置き換えの例は具体的だ。画像のリサイズは「Sharp」と「Redis」で、性的な画像の判定は「NudeNET」で自作した。サービスの死活監視は「Kuma」の上で動かしている。作り方は本文に「vibe coded」（AIに任せて作った）とあるだけで、Claude Codeで作ったとは書いていない。監査の記事とは道具の名前の出し方が違うので、2つの話は分けて読む必要がある。

自作にしない線を先に決める

同じ記事で、Levels氏は自作にしないものも書き出している。メールの運用と、自宅でのサーバーやハードディスクの管理は、どれも「I don't want」として避けた。サーバーはHetzner、保管はCloudflare、バックアップはBackblaze、LLMはxAIを使い続ける。そのうえで「I think I have reached my final limit」と書き、自作にする範囲はここまでだと自分で区切った。

10月11日付のSaaSの解約を続けた記録では、事業で払い続けるものを、AIの推論、Hetznerのサーバー、Cloudflareの保管、Backblazeのバックアップ、税に絞ったと書いている。個人の契約も解約を進め、自分で作るか、Claudeでオープンソースのソフトを自分向けに改造して代えるという。個人で払い続ける一覧の最初にはClaude Codeがある。ただ、これらは本人の見解で、浮いた額などの数字の裏付けは記事に無い。

持つと決めた範囲を守る

3本の記事を並べると、Levels氏の判断は一本の筋でつながる。何を自作するかと同じくらい、何を自作しないかを先に決めている。そして自作で抱えたサーバーは、Claude Codeに全台を監査させ、隔離のポリシーまで作らせて守っている。自作のサービスが増えるほど、守るべきサーバーも増える。その守りの手間を、Claude Codeに任せて1日の作業にまとめている。自分で持つ範囲を広げた分を、AIに任せた監査と隔離で支えている形だ。

編集部の見方

取り入れるかは別として、まず理解するなら、自作に置き換えたSaaSの一覧よりも、置き換えない線をどこに引いているかを見てみるといいかもしれない。メールやサーバーの機材は持たず、HetznerやCloudflareは使い続けるという線だ。もう一つは、1日かけて全サーバーをAIに監査させ、侵入されても広がらない隔離の設計まで作らせた手順だ。Claude CodeやCodexで作ったサービスを自分のサーバーで動かしているなら、自分の線引きと守り方を見直す手がかりになる。