✓ صمدت المرتبة 2 من 14 مقترحةمستقل الأمن 17 أكتوبر 2026

إقرار بالمراجعة البشرية لطلبات السحب (pull requests) التي كتبها الوكلاء

دليل بمستوى التدقيق يثبت أن إنساناً راجع فعلياً كل تغيير كتبه وكيل، مربوط بضوابط SOC2، مع طلب موافقة جديدة على أي commit لم يُعتمد.

افتح النقاش ↗

موجز جاهز للصق في Claude Code أو Cursor أو أي وكيل برمجة (بالإنجليزية).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Human-review attestation for agent-authored pull requests
What it is: Audit-grade proof that a human actually reviewed each agent-written change, mapped to SOC2 controls, with re-approval on unvouched commits.
Who pays: Compliance-minded engineering leads and GRC managers at SOC2-bound SaaS companies adopting coding agents, $300–1,500/mo on the compliance/security budget
Closest alternatives: GitHub CODEOWNERS + branch protection, LinearB / Swarmia (eng metrics, not audit), Vanta/Drata (control checklists, no per-commit evidence)
The gap: Branch protection proves an approval click happened, not that a human meaningfully reviewed an agent-written diff; GRC platforms track controls but collect no per-commit review evidence. Nothing ties agent provenance, risk tier, review depth, and flag-activation events into an auditor-ready trail.
Why now: Enterprises are rolling out coding agents in 2025 while auditors are only now encountering agent-authored code; SOC2 reviewers are beginning to ask how human review is enforced, and no tooling answers it.
Moat to build toward: Becomes the system of record for review compliance; historical attestation data and auditor integrations create switching costs.
Biggest risk: GitHub or the GRC platforms (Vanta/Drata) add a native 'AI-authored code' control and evidence collector, absorbing the feature.

First three steps:
1. GitHub App that tags PRs as human- or agent-authored, enforces a second-human approval rule for agent PRs, and invalidates approvals on post-approval agent pushes
2. Evidence capture: records review time-on-diff, comments, and reviewer identity into an exportable, tamper-evident audit log mapped to SOC2 CC controls
3. Flag-activation hook: turning on a feature flag for agent-written code triggers a required review checkpoint

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

الإجمالي6.4/10

الألم6

الاستعداد للدفع6

التوقيت8

الفجوة6

الخندق5

قابلية التنفيذ8

مع

من سيدفع

مسؤولو الهندسة المعنيون بالامتثال ومديرو GRC في شركات SaaS الملتزمة بـ SOC2 التي تعتمد أدوات الترميز الذكية، بميزانية من 300 إلى 1500 دولار شهرياً من ميزانية الامتثال والأمان

ماذا قال الناس · 2

يتساءل عن كيفية اجتياز SOC2 عند الاكتفاء بموافقة الكاتب نفسه، مشيراً إلى أن مدققه طلب مراجعة الكود من إنسان آخر على الأقل، ويثير مخاوف من التهديدات الداخلية. اقرأ التعليق ↗
يشير إلى أن عمليات الدمج منخفضة الخطورة المحمية بأعلام تنقل المخاطر الحقيقية إلى وقت تفعيل العلم، وهو ما لا تلتقطه مستويات المراجعة الحالية. اقرأ التعليق ↗

مُعاد صياغته من النقاش. اتبع الروابط لقراءة التعليقات الأصلية.

المنافسون والفجوة

GitHub CODEOWNERS + branch protectionLinearB / Swarmia (eng metrics, not audit)Vanta/Drata (control checklists, no per-commit evidence)

حماية الفروع (branch protection) تثبت أن نقرة الموافقة حدثت، لكنها لا تثبت أن إنساناً راجع فعلياً فرق الكود الذي كتبه وكيل. ومنصات GRC تتابع الضوابط لكنها لا تجمع أدلة مراجعة لكل commit. ولا يوجد ما يربط مصدر الكود الآلي ومستوى الخطورة وعمق المراجعة وأحداث تفعيل الأعلام (feature flags) في سجل جاهز للمدققين.

لماذا الآن

تطرح الشركات أدوات الترميز الذكية في 2025 بينما يبدأ المدققون للتو في مواجهة الكود الذي كتبه الوكلاء. ويبدأ مراجعو SOC2 بالسؤال عن كيفية فرض المراجعة البشرية، ولا توجد أدوات تجيب عن ذلك.

الخندق · 5/10

يصبح النظام المرجعي لامتثال المراجعات، وتخلق بيانات الإقرار التاريخية وتكاملات المدققين كلفة تبديل عالية.

ضد

الفريق الأحمر: المدققون يواجهون الكود الذي كتبه الوكلاء للتو، ولا توجد أداة تربط مصدر الكود الآلي بأدلة المراجعة البشرية لكل commit لأغراض SOC2، مع أن GitHub قد تسد جزءاً كبيراً من الفجوة بميزات الـ provenance.
ما الذي قد يُفشلها: تضيف GitHub أو منصات GRC (Vanta/Drata) ضابطاً أصلياً لـ الكود المكتوب بالذكاء الاصطناعي وجامعاً للأدلة، فتستوعب الميزة.

البداية

الخطوات الثلاث الأولى: تطبيق GitHub يصنّف طلبات السحب كمكتوبة يدوياً أو بالوكلاء، ويفرض موافقة إنسان ثانٍ على طلبات الوكلاء، ويلغي الموافقات عند دفع الوكيل تعديلات بعد الاعتماد
جمع الأدلة: تسجيل الوقت المقضى على الفرق والتعليقات وهوية المراجع في سجل تدقيق قابل للتصدير ومقاوم للعبث، ومربوط بضوابط SOC2 من فئة CC
خطاف تفعيل الأعلام: تشغيل علم ميزة لكود كتبه وكيل يُطلق نقطة مراجعة إلزامية
النقاش الأصلي: How the Claude Code team does code review ↗ 447 نقطة438 تعليقًامن التعليقاتالمقال المرتبط

مترجم من الإنجليزية. اقرأ النص الأصلي

مع

ضد

البداية

المزيد من هذا العدد