マルチエージェントCI/CD品質ゲート — Antigravity × GitHub ActionsでPRレビュー・テスト・セキュリティを自動化する実践ガイド

// scripts/quality-gate/orchestrator.ts
import { Octokit } from "@octokit/rest";
import { runCodeReviewAgent } from "./agents/code-review-agent";
import { runTestGenerationAgent } from "./agents/test-generation-agent";
import { runSecurityScanAgent } from "./agents/security-scan-agent";
import { formatComment } from "./format-comment";
import { upsertComment } from "./upsert-comment";
 
interface PRContext {
  owner: string;
  repo: string;
  prNumber: number;
  diff: string;
  changedFiles: string[];
  headSha: string;
}
 
interface AgentResult {
  agentName: string;
  findings: Finding[];
  severity: "critical" | "warning" | "info" | "pass";
  tokensUsed: number;
}
 
interface Finding {
  file: string;
  line?: number;
  message: string;
  severity: "critical" | "warning" | "info";
  suggestion?: string;
}
 
export async function runQualityGate(ctx: PRContext): Promise<void> {
  const octokit = new Octokit({ auth: process.env.GITHUB_TOKEN });
 
  // 3エージェントを並列実行（名前を持たせて、失敗時にどれが落ちたか分かるようにする）
  const agents = [
    { name: "コードレビュー", run: runCodeReviewAgent },
    { name: "テスト生成", run: runTestGenerationAgent },
    { name: "セキュリティスキャン", run: runSecurityScanAgent },
  ] as const;
  const settled = await Promise.allSettled(agents.map(a => a.run(ctx)));
 
  // 結果の集約
  const results: AgentResult[] = settled.map((result, i) => {
    if (result.status === "fulfilled") return result.value;
    // エージェント失敗時は警告として記録（全体を止めない）
    console.error(`Agent failed: ${agents[i].name}`, result.reason);
    return {
      agentName: agents[i].name,
      findings: [{
        file: "N/A",
        message: `エージェント実行エラー: ${result.reason?.message ?? "unknown"}`,
        severity: "warning" as const,
      }],
      severity: "warning" as const,
      tokensUsed: 0,
    };
  });
 
  // PRへのコメント投稿（既存コメントがあれば更新。実装は「よくある落とし穴」の4）
  await upsertComment(octokit, ctx, formatComment(results));
 
  // クリティカルな問題があればPRチェックを失敗させる
  const hasCritical = results.some(r =>
    r.findings.some(f => f.severity === "critical")
  );
  if (hasCritical) {
    await octokit.repos.createCommitStatus({
      owner: ctx.owner,
      repo: ctx.repo,
      sha: ctx.headSha,
      state: "failure",
      description: "Critical issues found by AI quality gate",
      context: "ai-quality-gate",
    });
    process.exit(1);
  }
 
  await octokit.repos.createCommitStatus({
    owner: ctx.owner,
    repo: ctx.repo,
    sha: ctx.headSha,
    state: "success",
    description: "AI quality gate passed",
    context: "ai-quality-gate",
  });
}

// scripts/quality-gate/agents/code-review-agent.ts
import { GoogleGenAI } from "@google/genai";
 
const client = new GoogleGenAI({ apiKey: process.env.GEMINI_API_KEY! });
 
export async function runCodeReviewAgent(ctx: PRContext): Promise<AgentResult> {
  const systemPrompt = `あなたはシニアエンジニアとしてPRコードレビューを行います。
以下の観点でdiffを分析し、JSON形式で結果を返してください。
 
観点:
- コードの可読性と保守性
- DRY原則・単一責任原則の逸脱
- エラーハンドリングの漏れ
- パフォーマンス上の問題（N+1クエリ、不要なループ等）
- 型安全性の問題（TypeScriptの場合）
 
出力形式:
{
  "findings": [
    {
      "file": "ファイルパス",
      "line": 行番号,
      "message": "問題の説明",
      "severity": "critical|warning|info",
      "suggestion": "改善案"
    }
  ]
}
 
severity基準:
- critical: バグ・データ損失リスク・重大なパフォーマンス問題
- warning: ベストプラクティス逸脱・可読性の大きな問題
- info: スタイル・軽微な改善提案`;
 
  const userPrompt = `以下のdiffをレビューしてください。
変更ファイル: ${ctx.changedFiles.join(", ")}
 
\`\`\`diff
${ctx.diff.slice(0, 50000)} 
\`\`\``;
  // diffが長すぎる場合は先頭50,000文字に切り詰める
 
  const response = await client.models.generateContent({
    model: "gemini-2.5-pro",
    contents: [{ role: "user", parts: [{ text: userPrompt }] }],
    config: {
      systemInstruction: systemPrompt,
      responseMimeType: "application/json",
      temperature: 0.1, // 低温でより一貫した判断を促す
      maxOutputTokens: 4096,
    },
  });
 
  const raw = response.text ?? "{}";
  let parsed: { findings: Finding[] };
  try {
    parsed = JSON.parse(raw);
  } catch {
    // JSONパース失敗時はフォールバック
    console.error("Code review agent: JSON parse failed", raw.slice(0, 200));
    parsed = { findings: [] };
  }
 
  const severity = parsed.findings.some(f => f.severity === "critical")
    ? "critical"
    : parsed.findings.some(f => f.severity === "warning")
    ? "warning"
    : "pass";
 
  return {
    agentName: "コードレビュー",
    findings: parsed.findings,
    severity,
    tokensUsed: response.usageMetadata?.totalTokenCount ?? 0,
  };
}

// scripts/quality-gate/agents/test-generation-agent.ts
export async function runTestGenerationAgent(ctx: PRContext): Promise<AgentResult> {
  // テスト対象ファイルのみ抽出（テストファイル自体は除外）
  const sourceFiles = ctx.changedFiles.filter(f =>
    !f.includes(".test.") &&
    !f.includes(".spec.") &&
    !f.includes("__tests__") &&
    (f.endsWith(".ts") || f.endsWith(".tsx") || f.endsWith(".js"))
  );
 
  if (sourceFiles.length === 0) {
    return {
      agentName: "テスト生成",
      findings: [{ file: "N/A", message: "テスト対象のソースファイルなし", severity: "info" }],
      severity: "pass",
      tokensUsed: 0,
    };
  }
 
  const systemPrompt = `あなたはテストエンジニアです。
変更されたコードに対してVitest/Jestでのテストケースが充足しているか確認し、
不足しているテストがあれば具体的なテストコードを提案してください。
 
出力形式:
{
  "findings": [
    {
      "file": "変更されたファイル",
      "message": "テスト状況の説明",
      "severity": "warning|info|pass",
      "suggestion": "追加すべきテストコードの例"
    }
  ]
}`;
 
  const userPrompt = `以下の変更を確認し、テストカバレッジを評価してください。
 
変更ソースファイル: ${sourceFiles.join(", ")}
 
\`\`\`diff
${ctx.diff.slice(0, 40000)}
\`\`\`
 
特に以下を確認してください:
1. 追加された関数・メソッドへのユニットテスト
2. エラーケース・境界値のテスト
3. 非同期処理のテスト`;
 
  const response = await client.models.generateContent({
    model: "gemini-2.5-flash",
    contents: [{ role: "user", parts: [{ text: userPrompt }] }],
    config: {
      systemInstruction: systemPrompt,
      responseMimeType: "application/json",
      temperature: 0.2,
      maxOutputTokens: 8192,
    },
  });
 
  const raw = response.text ?? "{}";
  let parsed: { findings: Finding[] };
  try {
    parsed = JSON.parse(raw);
  } catch {
    parsed = { findings: [{ file: "N/A", message: "テスト評価の解析に失敗しました", severity: "info" }] };
  }
 
  const severity = parsed.findings.some(f => f.severity === "warning") ? "warning" : "pass";
 
  return {
    agentName: "テスト生成",
    findings: parsed.findings,
    severity,
    tokensUsed: response.usageMetadata?.totalTokenCount ?? 0,
  };
}

// scripts/quality-gate/agents/security-scan-agent.ts
export async function runSecurityScanAgent(ctx: PRContext): Promise<AgentResult> {
  const systemPrompt = `あなたはセキュリティエンジニアです。
コードの変更を以下の脆弱性パターンで分析してください。
 
チェック項目:
- SQLインジェクション（動的クエリ構築）
- XSS（未サニタイズのユーザー入力）
- 秘密情報のハードコード（APIキー・パスワード・トークン）
- 安全でない乱数生成
- 認証・認可の迂回
- オープンリダイレクト
- 依存パッケージの直接インストール指示（requirements.txtなしのpip install等）
 
重要: 確実に脆弱性と判断できるものだけをcritical/warningにしてください。
推測や可能性レベルのものはinfoにとどめてください。
 
出力形式:
{
  "findings": [
    {
      "file": "ファイルパス",
      "line": 行番号,
      "message": "脆弱性の説明（具体的に）",
      "severity": "critical|warning|info",
      "suggestion": "修正方法"
    }
  ]
}`;
 
  const userPrompt = `以下のdiffをセキュリティ観点でスキャンしてください。
 
\`\`\`diff
${ctx.diff.slice(0, 45000)}
\`\`\``;
 
  const maxRetries = 3;
  let lastError: Error | null = null;
 
  for (let attempt = 1; attempt <= maxRetries; attempt++) {
    try {
      const response = await client.models.generateContent({
        model: "gemini-2.5-flash",
        contents: [{ role: "user", parts: [{ text: userPrompt }] }],
        config: {
          systemInstruction: systemPrompt,
          responseMimeType: "application/json",
          temperature: 0.1,
          maxOutputTokens: 4096,
        },
      });
 
      const raw = response.text ?? "{}";
      let parsed: { findings: Finding[] };
      try {
        parsed = JSON.parse(raw);
      } catch {
        parsed = { findings: [] };
      }
 
      const severity = parsed.findings.some(f => f.severity === "critical")
        ? "critical"
        : parsed.findings.some(f => f.severity === "warning")
        ? "warning"
        : "pass";
 
      return {
        agentName: "セキュリティスキャン",
        findings: parsed.findings,
        severity,
        tokensUsed: response.usageMetadata?.totalTokenCount ?? 0,
      };
    } catch (err) {
      lastError = err instanceof Error ? err : new Error(String(err));
      if (attempt < maxRetries) {
        // 指数バックオフ: 1回目の失敗後に2秒、2回目の失敗後に4秒（3回目は待たずに打ち切る）
        await new Promise(r => setTimeout(r, 2 ** attempt * 1000));
      }
    }
  }
 
  // 3回リトライしても失敗した場合はwarningとして記録してスキップ
  return {
    agentName: "セキュリティスキャン",
    findings: [{
      file: "N/A",
      message: `スキャンを完了できませんでした: ${lastError?.message ?? "unknown"}`,
      severity: "warning",
    }],
    severity: "warning",
    tokensUsed: 0,
  };
}

# .github/workflows/ai-quality-gate.yml
name: AI Quality Gate
 
on:
  pull_request:
    types: [opened, synchronize, reopened]
    branches: [main, develop]
 
jobs:
  quality-gate:
    name: AI Code Review & Security Scan
    runs-on: ubuntu-latest
    timeout-minutes: 10  # エージェントが無限ループしないよう上限設定
    permissions:
      contents: read
      pull-requests: write
      statuses: write
 
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          fetch-depth: 0  # 変更ファイルの周辺コードを読ませる拡張に備えて全履歴を取得
 
      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: "22"
          cache: "npm"
 
      - name: Install dependencies
        run: npm ci --workspace=scripts/quality-gate
 
      - name: Get PR diff
        id: diff
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: |
          gh pr diff ${{ github.event.pull_request.number }} \
            --repo ${{ github.repository }} > /tmp/pr.diff
          echo "diff_size=$(wc -c < /tmp/pr.diff)" >> $GITHUB_OUTPUT
 
      - name: Run AI Quality Gate
        env:
          GEMINI_API_KEY: ${{ secrets.GEMINI_API_KEY }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          PR_NUMBER: ${{ github.event.pull_request.number }}
          REPO_OWNER: ${{ github.repository_owner }}
          REPO_NAME: ${{ github.event.repository.name }}
          HEAD_SHA: ${{ github.event.pull_request.head.sha }}
        run: |
          npx tsx scripts/quality-gate/index.ts \
            --diff /tmp/pr.diff \
            --pr $PR_NUMBER \
            --owner $REPO_OWNER \
            --repo $REPO_NAME \
            --sha $HEAD_SHA
 
      - name: Upload agent logs
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: quality-gate-logs
          path: /tmp/quality-gate-*.json
          retention-days: 7

// scripts/quality-gate/format-comment.ts
import { MARKER } from "./upsert-comment";
 
export function formatComment(results: AgentResult[]): string {
  const totalFindings = results.flatMap(r => r.findings);
  const criticals = totalFindings.filter(f => f.severity === "critical");
  const warnings = totalFindings.filter(f => f.severity === "warning");
  const totalTokens = results.reduce((sum, r) => sum + r.tokensUsed, 0);
 
  const statusEmoji = criticals.length > 0 ? "🔴" : warnings.length > 0 ? "🟡" : "✅";
  const statusText = criticals.length > 0
    ? `${criticals.length}件のCritical問題が見つかりました。マージ前に修正が必要です。`
    : warnings.length > 0
    ? `${warnings.length}件の警告があります。確認を推奨します。`
    : "問題は検出されませんでした。";
 
  let comment = `${MARKER}\n## ${statusEmoji} AI品質ゲート結果\n\n${statusText}\n\n`;
 
  for (const result of results) {
    if (result.findings.length === 0) continue;
 
    comment += `### ${result.agentName}\n\n`;
 
    const agentCriticals = result.findings.filter(f => f.severity === "critical");
    const agentWarnings = result.findings.filter(f => f.severity === "warning");
    const agentInfos = result.findings.filter(f => f.severity === "info");
 
    for (const finding of [...agentCriticals, ...agentWarnings, ...agentInfos]) {
      const icon = finding.severity === "critical" ? "🔴" : finding.severity === "warning" ? "🟡" : "ℹ️";
      const location = finding.line ? `${finding.file}:${finding.line}` : finding.file;
      comment += `${icon} **${location}**\n`;
      comment += `${finding.message}\n`;
      if (finding.suggestion) {
        comment += `> 💡 ${finding.suggestion}\n`;
      }
      comment += "\n";
    }
  }
 
  comment += `---\n`;
  comment += `*消費トークン合計: ${totalTokens.toLocaleString()} tokens*\n`;
  comment += `*実行エージェント: ${results.map(r => r.agentName).join(", ")}*\n`;
 
  return comment;
}

concurrency:
  group: quality-gate-${{ github.head_ref }}
  cancel-in-progress: true

// scripts/quality-gate/upsert-comment.ts
import type { Octokit } from "@octokit/rest";
 
export const MARKER = "<!-- ai-quality-gate -->";
 
export async function upsertComment(
  octokit: Octokit,
  ctx: { owner: string; repo: string; prNumber: number },
  body: string,
): Promise<void> {
  // listCommentsは1ページ30件が既定。paginateで全ページを辿る
  const comments = await octokit.paginate(octokit.issues.listComments, {
    owner: ctx.owner, repo: ctx.repo, issue_number: ctx.prNumber, per_page: 100,
  });
  const existing = comments.find(c => c.body?.includes(MARKER));
 
  if (existing) {
    await octokit.issues.updateComment({
      owner: ctx.owner, repo: ctx.repo, comment_id: existing.id, body,
    });
  } else {
    await octokit.issues.createComment({
      owner: ctx.owner, repo: ctx.repo, issue_number: ctx.prNumber, body,
    });
  }
}