AIはコードレビューをどう変えているのか

コードレビューは常に注意力に制約されてきました。レビュアーは一日の終わりに600行の差分を流し読みし、見慣れた部分を承認してしまいます。大規模言語モデルはこの前提を変えます。疲れることなく、毎回すべての行を読むからです。

AIレビュアーが得意なこと

• リクエストハンドラーからデータベース呼び出しまで、ファイルをまたいでデータの流れを追うこと。インジェクションやアクセス制御のバグが潜むのはまさにそこです。
• 所有者チェックの欠落や、チェックと使用の間の競合状態など、単純なパターンに当てはまらない脆弱性の種類を見抜くこと。
• 指摘内容を平易な言葉で説明し、周囲のコードのスタイルに合わせた修正案を提示すること。
• 一貫性を保つこと。金曜午後のプルリクエストにも、月曜朝のプルリクエストと同じルールが適用されます。

今も人間が判断すべきこと

AIレビュアーは、あなたの脅威モデルもコンプライアンス上の義務も、どの社内サービスが実は外部に公開されているかも知りません。特にシステムの一部しか見えていない場合、自信満々に間違えることがあります。優れたツールはその点を可視化します。根拠を引用し、確信度を明示し、汎用的なアドバイスでレポートを水増ししません。

意見ではなく根拠を

最も価値のある変化は、意見から根拠への転換です。該当する行を正確に引用し、CWEを示し、攻撃手法を説明し、修正方法を提示する指摘なら、1分で検証できます。「入力の検証を検討してください」とだけ書かれた指摘では、それができません。CodeAuditAgentは、まさにこの基準を軸に作られています。

AIレビューをワークフローに組み込む

• リポジトリを追加した時点で監査を実行し、その後は重要なプルリクエストごとに実行しましょう。
• 深刻度と確信度でトリアージし、CriticalとHighの指摘はマージ前に修正しましょう。
• 設計、プロダクトロジック、そしてレポートで確信度が低いとされた項目については、人間のレビュアーを残しましょう。