株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
この記事でわかること
- AIコードレビューを3段階のループで設計し、品質を段階的に引き上げる方法
- 作業エージェントとレビューエージェントを分離する設計パターンの具体的な実装
- CI/CDパイプラインにAIレビューを組み込み、PRマージまでを自動化するフロー
はじめに：なぜ「AIコードレビュー」が必須になったのか
AIコーディングエージェントの普及により、コードの生成速度は飛躍的に向上しました。しかしその結果、レビュー待ちのPRが増加し、人間のレビュワーがボトルネックになるという新たな課題が生まれています。
サイバーエージェントの2025年12月17日の開発者ブログでは、執筆者の所属チームでAIツール導入後のコミット数が導入前の約2倍になり、増えたレビュー負荷に対応するためレビューフローを再設計したと報告されています。全社一律の効果ではなく、同チームの報告です（公開事例）。
本記事では、AIをレビューの「受ける側」だけでなく「する側」にも活用し、コード品質を自動的に引き上げる3段階のレビューループを解説します。
AIコードレビューの3段階ループ設計
効果的なAIコードレビューは、以下の3段階で構成します。各段階で異なるレベルの品質チェックを行い、最終的にCIを通過する品質まで自動的に引き上げます。
Stage 1：作業エージェント × レビューエージェント分離ループ
最も革新的なパターンは、コードを書く「作業エージェント」と、品質をチェックする「レビューエージェント」を分離する設計です。
仕組み：
- 作業エージェントがコードを実装する
- レビューエージェントが実装結果を検査し、問題点を指摘する
- 作業エージェントが指摘を修正する
- レビューエージェントの指摘を確認して2〜3を繰り返し、上限回数または終了条件に達したら人間が残件を判断する
なぜ分離するのか：
同じエージェントに「書いて、自分でレビューして」と指示すると、自分の書いたコードに対してバイアスがかかり、問題を見逃しやすくなります。別のセッション（または別のエージェント）でレビューすることで、客観的な視点が得られます。
レビューエージェントのチェック項目例：
- セキュリティ：認証なしでユーザーがAPIにアクセスできないか
- 認可：他テナントや他ユーザーの情報が見えないか
- 機密情報：publicディレクトリに秘匿情報が入り込んでいないか
- 一般的な脆弱性：SQLインジェクション、XSS、CSRF等
Stage 2：ローカルAIコードレビュー実行ループ
Stage 1を通過したコードに対して、ローカル環境でAIコードレビューツールを実行します。
仕組み：
- ローカルでAIによるコードレビューを実行（例：Claude Codeに変更差分の確認を依頼）
- 致命的な指摘がなくなるまで、設定した上限回数内でループ
- 致命的でない指摘（警告レベル）は記録のみ
ローカル実行のメリット：
- PRを作成する前に品質を確保できるため、CIの実行回数が減る
- 人間のレビュアーへの依頼待ちを減らせる（AI処理の実行・通信・待機時間は発生する）
- 致命的な問題をCIに到達する前に排除できる
Stage 3：CI上のAIレビュー + 自動修正ループ
PRを作成した後、CI/CDパイプライン上でAIコードレビューを実行し、指摘に対して自動修正を行うループです。
仕組み：
- PRを作成する
- GitHub Actions等のCIがAIコードレビューを実行
- 致命的な指摘があれば、AIエージェントが自動修正コミットを作成
- 修正後にCIを再実行する設定を行う。GITHUB_TOKENによる通常のpushは新たなワークフローを起動しないため、公式のトリガー条件を確認する
- 致命的な指摘がなくなるまで、設定した上限回数内で繰り返す。残件や誤検知は人間が判断する
GitHub Agentic Workflowsの活用：
GitHubは2026年2月13日に、GitHub Agentic Workflowsのテクニカルプレビューを発表しました。Markdownで記述した作業をGitHub Actions内のコーディングエージェントで実行し、コードの調査や修正提案などを自動化できます。書き込み操作は許可した出力や権限の範囲で設定します（公式発表・設計の説明）。
フィードバック蓄積による品質の継続的向上
AIが繰り返す間違いをレビュー基準に蓄積する
AIコードレビューで最も価値が高いのは、「毎回発生するAIの見落としポイント」をフィードバックとして蓄積し、同じ指摘の再発を減少させる仕組みです。
蓄積の流れ：
- レビューで指摘された問題をカテゴリ分類する（セキュリティ/パフォーマンス/スタイル等）
- 繰り返し発生する指摘をレビュー基準のドキュメントに追記する
- 次回のコード生成時にAIが同じ間違いを避けるようになる
- レビュー指摘数が段階的に減少していく
これは「学習する開発チーム」の仕組みであり、AIと人間が協力してコード品質を継続的に向上させるサイクルです。
CI/CDパイプラインへのAIレビュー組み込み
GitHub Actionsでの実装パターン
AIコードレビューをCIに組み込むパターン例は以下の3つです。Claude Code GitHub Actionsの公式資料は、PR/issueの@claudeメンションやGitHubイベントからの自動実行を説明しています。
| パターン | トリガー | AIの役割 | 適するケース |
|---|---|---|---|
| PR作成時レビュー | pull_request opened/synchronize | 差分に対してコメント | 全PRに適用 |
| @メンション起動 | issue_comment @claude | 指示に基づいて修正コミット | 人間が判断してから起動 |
| スケジュール実行 | schedule (cron) | 既存コードベースの定期監査 | セキュリティスキャン |
レビュー結果の分類と対応ルール
| 重要度 | 例 | 対応 |
|---|---|---|
| Critical（ブロッキング） | 認証バイパス、SQLインジェクション | 自動修正 → 再レビュー必須 |
| Warning（要確認） | 未使用変数、パフォーマンス懸念 | コメント付与 → 人間が判断 |
| Info（参考） | コードスタイル、命名規則 | 記録のみ → Lint/Formatterで対応 |
人間のレビューとの役割分担
AIコードレビューは人間のレビューを完全に置き換えるものではありません。以下のように役割を分担します。
| 観点 | AIレビュー | 人間レビュー |
|---|---|---|
| バグ・脆弱性検出 | 得意（パターンマッチング） | 補助的 |
| コードスタイル | Lint/Formatterに委任 | 不要 |
| 設計判断の妥当性 | 指摘は可能だが判断は人間 | 主担当 |
| ビジネスロジックの正しさ | 限定的 | 主担当 |
| チームの設計方針との整合 | レビュー基準のドキュメントに記載があれば可能 | 最終判断 |
AIが機械的なチェック（構文、セキュリティ、テストカバレッジ）を担い、人間が設計判断やビジネスロジックの妥当性に集中する分業が理想です。
導入時の注意点
1. AIレビューの指摘を盲信しない
AIは「疑わしいもの」を過剰に指摘する傾向があります。false positiveが多すぎると、開発者がAIレビューを無視する習慣がつきます。致命的な指摘のみ自動修正し、それ以外はコメントに留めるのがベストプラクティスです。
2. レビューコストを監視する
AIレビューにはAPI呼び出しのコストが発生します。PRあたりのレビューコストを計測し、コスト対効果を定期的に評価しましょう。大きなPR（500行超の差分）は分割を促すルールを設けると、レビュー精度もコストも改善します。
3. 段階的に導入する
最初から3段階すべてを導入する必要はありません。まずStage 3（CI上のAIレビュー）から始め、効果を確認してからStage 1（エージェント分離）に進むのが現実的です。
効果測定
導入前後で同じ対象・集計期間を使い、次の4指標を測定します。達成値はチームによって異なるため、自社の実測から目標を設定してください。
| 指標 | 導入前の測定 | 導入後の確認・目標 |
|---|---|---|
| PRあたりの人間レビュー時間 | 実作業時間を分/PRで記録 | 変更規模をそろえて比較。AI指摘の確認・修正時間も含める |
| レビュー差し戻し率 | 差し戻したPR数÷対象PR数を記録 | 同じ差し戻し基準で測定し、理由と率の変化を確認 |
| 重大バグの本番流出 | 重大度を定義し、月あたりの発生件数を記録 | 月0件を目標例とし、流出時は検証の不足を分析 |
| PR作成〜マージまでの時間 | 経過時間とCI・レビュー待ち時間を記録 | 同程度の変更で比較し、遅延要因が減ったか確認 |
まとめ：AIレビューは「3段階ループ」で品質を自動的に引き上げる
AIコードレビューの自動化で最も重要なのは、単発のレビューではなく、「指摘→修正→再レビュー」のループを自動化することです。3段階ループ（エージェント分離→ローカルレビュー→CIレビュー）を構築すれば、PRがCIを通過した時点で、設定したテストや検査の合格を確認できます。ただし、未検証の条件や業務要件を含むコード品質全般を保証するものではなく、必要な人間のレビューも行います。
AIコードレビュー自動化の導入はrenueにご相談ください
renueでは、作業エージェントとレビューエージェントの分離パターン、CI上のAIレビュー自動修正ループ、フィードバック蓄積による品質向上サイクルを、開発品質を高めるための有効な設計パターンと考えています。AIコードレビューの導入設計から、CI/CDパイプラインへの組み込み、チームへの定着支援まで一貫してサポートします。
