マルチエージェントCI/CD品質ゲート — Antigravity × GitHub ActionsでPRレビュー・テスト・セキュリティを自動化する実践ガイド

// scripts/quality-gate/orchestrator.ts
import { createOrchestrator, createAgent } from "@google/agentkit";
import { GoogleGenAI } from "@google/genai";
import { Octokit } from "@octokit/rest";
 
const client = new GoogleGenAI({ apiKey: process.env.GEMINI_API_KEY! });
 
interface PRContext {
  owner: string;
  repo: string;
  prNumber: number;
  diff: string;
  changedFiles: string[];
  headSha: string;
}
 
interface AgentResult {
  agentName: string;
  findings: Finding[];
  severity: "critical" | "warning" | "info" | "pass";
  tokensUsed: number;
}
 
interface Finding {
  file: string;
  line?: number;
  message: string;
  severity: "critical" | "warning" | "info";
  suggestion?: string;
}
 
export async function runQualityGate(ctx: PRContext): Promise<void> {
  const octokit = new Octokit({ auth: process.env.GITHUB_TOKEN });
 
  // 3エージェントを並列実行（Promiseの並列化）
  const [reviewResult, testResult, securityResult] = await Promise.allSettled([
    runCodeReviewAgent(ctx),
    runTestGenerationAgent(ctx),
    runSecurityScanAgent(ctx),
  ]);
 
  // 結果の集約
  const results: AgentResult[] = [];
  for (const result of [reviewResult, testResult, securityResult]) {
    if (result.status === "fulfilled") {
      results.push(result.value);
    } else {
      // エージェント失敗時は警告として記録（全体を止めない）
      console.error("Agent failed:", result.reason);
      results.push({
        agentName: "unknown",
        findings: [{
          file: "N/A",
          message: `エージェント実行エラー: ${result.reason?.message ?? "unknown"}`,
          severity: "warning",
        }],
        severity: "warning",
        tokensUsed: 0,
      });
    }
  }
 
  // PRへのコメント投稿
  const comment = formatComment(results);
  await octokit.issues.createComment({
    owner: ctx.owner,
    repo: ctx.repo,
    issue_number: ctx.prNumber,
    body: comment,
  });
 
  // クリティカルな問題があればPRチェックを失敗させる
  const hasCritical = results.some(r =>
    r.findings.some(f => f.severity === "critical")
  );
  if (hasCritical) {
    await octokit.repos.createCommitStatus({
      owner: ctx.owner,
      repo: ctx.repo,
      sha: ctx.headSha,
      state: "failure",
      description: "Critical issues found by AI quality gate",
      context: "ai-quality-gate",
    });
    process.exit(1);
  }
 
  await octokit.repos.createCommitStatus({
    owner: ctx.owner,
    repo: ctx.repo,
    sha: ctx.headSha,
    state: "success",
    description: "AI quality gate passed",
    context: "ai-quality-gate",
  });
}

// scripts/quality-gate/agents/code-review-agent.ts
import { GoogleGenAI } from "@google/genai";
 
const client = new GoogleGenAI({ apiKey: process.env.GEMINI_API_KEY! });
 
export async function runCodeReviewAgent(ctx: PRContext): Promise<AgentResult> {
  const systemPrompt = `あなたはシニアエンジニアとしてPRコードレビューを行います。
以下の観点でdiffを分析し、JSON形式で結果を返してください。
 
観点:
- コードの可読性と保守性
- DRY原則・単一責任原則の逸脱
- エラーハンドリングの漏れ
- パフォーマンス上の問題（N+1クエリ、不要なループ等）
- 型安全性の問題（TypeScriptの場合）
 
出力形式:
{
  "findings": [
    {
      "file": "ファイルパス",
      "line": 行番号,
      "message": "問題の説明",
      "severity": "critical|warning|info",
      "suggestion": "改善案"
    }
  ]
}
 
severity基準:
- critical: バグ・データ損失リスク・重大なパフォーマンス問題
- warning: ベストプラクティス逸脱・可読性の大きな問題
- info: スタイル・軽微な改善提案`;
 
  const userPrompt = `以下のdiffをレビューしてください。
変更ファイル: ${ctx.changedFiles.join(", ")}
 
\`\`\`diff
${ctx.diff.slice(0, 50000)} 
\`\`\``;
  // diffが長すぎる場合は先頭50,000文字に切り詰める
 
  const response = await client.models.generateContent({
    model: "gemini-2.5-pro",
    contents: [{ role: "user", parts: [{ text: userPrompt }] }],
    config: {
      systemInstruction: systemPrompt,
      responseMimeType: "application/json",
      temperature: 0.1, // 低温でより一貫した判断を促す
      maxOutputTokens: 4096,
    },
  });
 
  const raw = response.text ?? "{}";
  let parsed: { findings: Finding[] };
  try {
    parsed = JSON.parse(raw);
  } catch {
    // JSONパース失敗時はフォールバック
    console.error("Code review agent: JSON parse failed", raw.slice(0, 200));
    parsed = { findings: [] };
  }
 
  const severity = parsed.findings.some(f => f.severity === "critical")
    ? "critical"
    : parsed.findings.some(f => f.severity === "warning")
    ? "warning"
    : "pass";
 
  return {
    agentName: "コードレビュー",
    findings: parsed.findings,
    severity,
    tokensUsed: response.usageMetadata?.totalTokenCount ?? 0,
  };
}

// scripts/quality-gate/agents/test-generation-agent.ts
export async function runTestGenerationAgent(ctx: PRContext): Promise<AgentResult> {
  // テスト対象ファイルのみ抽出（テストファイル自体は除外）
  const sourceFiles = ctx.changedFiles.filter(f =>
    !f.includes(".test.") &&
    !f.includes(".spec.") &&
    !f.includes("__tests__") &&
    (f.endsWith(".ts") || f.endsWith(".tsx") || f.endsWith(".js"))
  );
 
  if (sourceFiles.length === 0) {
    return {
      agentName: "テスト生成",
      findings: [{ file: "N/A", message: "テスト対象のソースファイルなし", severity: "info" }],
      severity: "pass",
      tokensUsed: 0,
    };
  }
 
  const systemPrompt = `あなたはテストエンジニアです。
変更されたコードに対してVitest/Jestでのテストケースが充足しているか確認し、
不足しているテストがあれば具体的なテストコードを提案してください。
 
出力形式:
{
  "findings": [
    {
      "file": "変更されたファイル",
      "message": "テスト状況の説明",
      "severity": "warning|info|pass",
      "suggestion": "追加すべきテストコードの例"
    }
  ]
}`;
 
  const userPrompt = `以下の変更を確認し、テストカバレッジを評価してください。
 
変更ソースファイル: ${sourceFiles.join(", ")}
 
\`\`\`diff
${ctx.diff.slice(0, 40000)}
\`\`\`
 
特に以下を確認してください:
1. 追加された関数・メソッドへのユニットテスト
2. エラーケース・境界値のテスト
3. 非同期処理のテスト`;
 
  const response = await client.models.generateContent({
    model: "gemini-2.5-flash",
    contents: [{ role: "user", parts: [{ text: userPrompt }] }],
    config: {
      systemInstruction: systemPrompt,
      responseMimeType: "application/json",
      temperature: 0.2,
      maxOutputTokens: 8192,
    },
  });
 
  const raw = response.text ?? "{}";
  let parsed: { findings: Finding[] };
  try {
    parsed = JSON.parse(raw);
  } catch {
    parsed = { findings: [{ file: "N/A", message: "テスト評価の解析に失敗しました", severity: "info" }] };
  }
 
  const severity = parsed.findings.some(f => f.severity === "warning") ? "warning" : "pass";
 
  return {
    agentName: "テスト生成",
    findings: parsed.findings,
    severity,
    tokensUsed: response.usageMetadata?.totalTokenCount ?? 0,
  };
}

// scripts/quality-gate/agents/security-scan-agent.ts
export async function runSecurityScanAgent(ctx: PRContext): Promise<AgentResult> {
  const systemPrompt = `あなたはセキュリティエンジニアです。
コードの変更を以下の脆弱性パターンで分析してください。
 
チェック項目:
- SQLインジェクション（動的クエリ構築）
- XSS（未サニタイズのユーザー入力）
- 秘密情報のハードコード（APIキー・パスワード・トークン）
- 安全でない乱数生成
- 認証・認可の迂回
- オープンリダイレクト
- 依存パッケージの直接インストール指示（requirements.txtなしのpip install等）
 
重要: 確実に脆弱性と判断できるものだけをcritical/warningにしてください。
推測や可能性レベルのものはinfoにとどめてください。
 
出力形式:
{
  "findings": [
    {
      "file": "ファイルパス",
      "line": 行番号,
      "message": "脆弱性の説明（具体的に）",
      "severity": "critical|warning|info",
      "suggestion": "修正方法"
    }
  ]
}`;
 
  const userPrompt = `以下のdiffをセキュリティ観点でスキャンしてください。
 
\`\`\`diff
${ctx.diff.slice(0, 45000)}
\`\`\``;
 
  const maxRetries = 3;
  let lastError: Error | null = null;
 
  for (let attempt = 1; attempt <= maxRetries; attempt++) {
    try {
      const response = await client.models.generateContent({
        model: "gemini-2.5-flash",
        contents: [{ role: "user", parts: [{ text: userPrompt }] }],
        config: {
          systemInstruction: systemPrompt,
          responseMimeType: "application/json",
          temperature: 0.1,
          maxOutputTokens: 4096,
        },
      });
 
      const raw = response.text ?? "{}";
      let parsed: { findings: Finding[] };
      try {
        parsed = JSON.parse(raw);
      } catch {
        parsed = { findings: [] };
      }
 
      const severity = parsed.findings.some(f => f.severity === "critical")
        ? "critical"
        : parsed.findings.some(f => f.severity === "warning")
        ? "warning"
        : "pass";
 
      return {
        agentName: "セキュリティスキャン",
        findings: parsed.findings,
        severity,
        tokensUsed: response.usageMetadata?.totalTokenCount ?? 0,
      };
    } catch (err) {
      lastError = err instanceof Error ? err : new Error(String(err));
      if (attempt < maxRetries) {
        // 指数バックオフ: 2秒、4秒、8秒
        await new Promise(r => setTimeout(r, 2 ** attempt * 1000));
      }
    }
  }
 
  // 3回リトライしても失敗した場合はwarningとして記録してスキップ
  return {
    agentName: "セキュリティスキャン",
    findings: [{
      file: "N/A",
      message: `スキャンを完了できませんでした: ${lastError?.message ?? "unknown"}`,
      severity: "warning",
    }],
    severity: "warning",
    tokensUsed: 0,
  };
}

# .github/workflows/ai-quality-gate.yml
name: AI Quality Gate
 
on:
  pull_request:
    types: [opened, synchronize, reopened]
    branches: [main, develop]
 
jobs:
  quality-gate:
    name: AI Code Review & Security Scan
    runs-on: ubuntu-latest
    timeout-minutes: 10  # エージェントが無限ループしないよう上限設定
    permissions:
      contents: read
      pull-requests: write
      statuses: write
 
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          fetch-depth: 0  # diff取得のため全履歴が必要
 
      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: "22"
          cache: "npm"
 
      - name: Install dependencies
        run: npm ci --workspace=scripts/quality-gate
 
      - name: Get PR diff
        id: diff
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: |
          gh pr diff ${{ github.event.pull_request.number }} \
            --repo ${{ github.repository }} > /tmp/pr.diff
          echo "diff_size=$(wc -c < /tmp/pr.diff)" >> $GITHUB_OUTPUT
 
      - name: Run AI Quality Gate
        env:
          GEMINI_API_KEY: ${{ secrets.GEMINI_API_KEY }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          PR_NUMBER: ${{ github.event.pull_request.number }}
          REPO_OWNER: ${{ github.repository_owner }}
          REPO_NAME: ${{ github.event.repository.name }}
          HEAD_SHA: ${{ github.event.pull_request.head.sha }}
        run: |
          npx tsx scripts/quality-gate/index.ts \
            --diff /tmp/pr.diff \
            --pr $PR_NUMBER \
            --owner $REPO_OWNER \
            --repo $REPO_NAME \
            --sha $HEAD_SHA
 
      - name: Upload agent logs
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: quality-gate-logs
          path: /tmp/quality-gate-*.json
          retention-days: 7

// scripts/quality-gate/format-comment.ts
export function formatComment(results: AgentResult[]): string {
  const totalFindings = results.flatMap(r => r.findings);
  const criticals = totalFindings.filter(f => f.severity === "critical");
  const warnings = totalFindings.filter(f => f.severity === "warning");
  const totalTokens = results.reduce((sum, r) => sum + r.tokensUsed, 0);
 
  const statusEmoji = criticals.length > 0 ? "🔴" : warnings.length > 0 ? "🟡" : "✅";
  const statusText = criticals.length > 0
    ? `${criticals.length}件のCritical問題が見つかりました。マージ前に修正が必要です。`
    : warnings.length > 0
    ? `${warnings.length}件の警告があります。確認を推奨します。`
    : "問題は検出されませんでした。";
 
  let comment = `## ${statusEmoji} AI品質ゲート結果\n\n${statusText}\n\n`;
 
  for (const result of results) {
    if (result.findings.length === 0) continue;
 
    comment += `### ${result.agentName}\n\n`;
 
    const agentCriticals = result.findings.filter(f => f.severity === "critical");
    const agentWarnings = result.findings.filter(f => f.severity === "warning");
    const agentInfos = result.findings.filter(f => f.severity === "info");
 
    for (const finding of [...agentCriticals, ...agentWarnings, ...agentInfos]) {
      const icon = finding.severity === "critical" ? "🔴" : finding.severity === "warning" ? "🟡" : "ℹ️";
      const location = finding.line ? `${finding.file}:${finding.line}` : finding.file;
      comment += `${icon} **${location}**\n`;
      comment += `${finding.message}\n`;
      if (finding.suggestion) {
        comment += `> 💡 ${finding.suggestion}\n`;
      }
      comment += "\n";
    }
  }
 
  comment += `---\n`;
  comment += `*消費トークン合計: ${totalTokens.toLocaleString()} tokens*\n`;
  comment += `*実行エージェント: ${results.map(r => r.agentName).join(", ")}*\n`;
 
  return comment;
}

concurrency:
  group: quality-gate-${{ github.head_ref }}
  cancel-in-progress: true

// 既存のコメントを更新する
const existingComments = await octokit.issues.listComments({
  owner: ctx.owner, repo: ctx.repo, issue_number: ctx.prNumber,
});
const existingComment = existingComments.data.find(c =>
  c.body?.startsWith("## ") && c.body.includes("AI品質ゲート結果")
);
 
if (existingComment) {
  await octokit.issues.updateComment({
    owner: ctx.owner, repo: ctx.repo,
    comment_id: existingComment.id, body: comment,
  });
} else {
  await octokit.issues.createComment({
    owner: ctx.owner, repo: ctx.repo,
    issue_number: ctx.prNumber, body: comment,
  });
}