✓ टिका 14 प्रस्तावों में 2वाँ स्थानइंडी सुरक्षा 17 अक्टू॰ 2026

Agent-लिखे pull requests के लिए human-review attestation

हर agent-लिखे बदलाव की मानव समीक्षा का audit-grade प्रमाण, SOC2 controls से जुड़ा, और बिना गारंटी वाले commits पर re-approval के साथ।

चर्चा खोलें ↗

Claude Code, Cursor या किसी भी कोडिंग एजेंट में चिपकाने के लिए तैयार ब्रीफ़ (अंग्रेज़ी में)।

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Human-review attestation for agent-authored pull requests
What it is: Audit-grade proof that a human actually reviewed each agent-written change, mapped to SOC2 controls, with re-approval on unvouched commits.
Who pays: Compliance-minded engineering leads and GRC managers at SOC2-bound SaaS companies adopting coding agents, $300–1,500/mo on the compliance/security budget
Closest alternatives: GitHub CODEOWNERS + branch protection, LinearB / Swarmia (eng metrics, not audit), Vanta/Drata (control checklists, no per-commit evidence)
The gap: Branch protection proves an approval click happened, not that a human meaningfully reviewed an agent-written diff; GRC platforms track controls but collect no per-commit review evidence. Nothing ties agent provenance, risk tier, review depth, and flag-activation events into an auditor-ready trail.
Why now: Enterprises are rolling out coding agents in 2025 while auditors are only now encountering agent-authored code; SOC2 reviewers are beginning to ask how human review is enforced, and no tooling answers it.
Moat to build toward: Becomes the system of record for review compliance; historical attestation data and auditor integrations create switching costs.
Biggest risk: GitHub or the GRC platforms (Vanta/Drata) add a native 'AI-authored code' control and evidence collector, absorbing the feature.

First three steps:
1. GitHub App that tags PRs as human- or agent-authored, enforces a second-human approval rule for agent PRs, and invalidates approvals on post-approval agent pushes
2. Evidence capture: records review time-on-diff, comments, and reviewer identity into an exportable, tamper-evident audit log mapped to SOC2 CC controls
3. Flag-activation hook: turning on a feature flag for agent-written code triggers a required review checkpoint

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

कुल6.4/10

समस्या6

भुगतान की इच्छा6

समय8

बाज़ार में कमी6

सुरक्षा कवच5

व्यवहार्यता8

पक्ष में

कौन भुगतान करेगा

SOC2 के दायरे वाली SaaS कंपनियों के compliance-minded engineering leads और GRC managers जो coding agents अपना रहे हैं; compliance/security बजट से $300–1,500/mo

लोगों ने क्या कहा · 2

पूछा गया है कि सिर्फ author की approval SOC2 में कैसे पास होती है, यह बताते हुए कि उनके auditor को कम से कम एक और इंसान की code समीक्षा चाहिए थी, और insider-threat की चिंताएँ उठाई गई हैं। टिप्पणी पढ़ें ↗
बताया गया है कि flag-gated 'low risk' merges असली जोखिम को feature flag activation तक टाल देते हैं, जिसे मौजूदा review tiers नहीं पकड़ते। टिप्पणी पढ़ें ↗

चर्चा से अपने शब्दों में लिखा गया। मूल टिप्पणियों के लिए लिंक देखें।

प्रतिस्पर्धी और कमी

GitHub CODEOWNERS + branch protectionLinearB / Swarmia (eng metrics, not audit)Vanta/Drata (control checklists, no per-commit evidence)

Branch protection सिर्फ यह साबित करता है कि approval का click हुआ, न कि किसी इंसान ने agent-लिखे diff की सार्थक समीक्षा की; GRC platforms controls ट्रैक करते हैं पर per-commit review evidence इकट्ठा नहीं करते। Agent provenance, risk tier, review depth और flag-activation events को auditor-ready trail में कोई नहीं जोड़ता।

अभी क्यों

Enterprises 2025 में coding agents रोल आउट कर रही हैं, जबकि auditors अभी-अभी agent-लिखे code से मिल रहे हैं; SOC2 reviewers पूछने लगे हैं कि मानव समीक्षा कैसे लागू होती है, और इसका जवाब देने वाला कोई tooling नहीं है।

सुरक्षा कवच · 5/10

Review compliance का system of record बन जाता है; ऐतिहासिक attestation डेटा और auditor integrations switching costs बनाते हैं।

विपक्ष में

रेड टीम: Auditors अभी agent-लिखे code से मिल ही रहे हैं और कोई tool SOC2 के लिए agent provenance को per-commit human-review evidence से नहीं जोड़ता, हालाँकि GitHub provenance फीचर्स से ज़्यादातर अंतर भर सकता है।
यह किस वजह से असफल हो सकता है: GitHub या GRC platforms (Vanta/Drata) एक native 'AI-authored code' control और evidence collector जोड़ दें, और यह फीचर उनमें समा जाए।

शुरुआत

पहले तीन कदम: GitHub App जो PRs को human- या agent-authored टैग करे, agent PRs के लिए दूसरे इंसान की approval नियम लागू करे, और approval के बाद agent push होने पर approvals रद्द करे
Evidence capture: review time-on-diff, comments और reviewer identity रिकॉर्ड करे और एक exportable, tamper-evident audit log में SOC2 CC controls से मैप करे
Flag-activation hook: agent-लिखे code के लिए feature flag चालू करने पर अनिवार्य review checkpoint ट्रिगर हो
मूल चर्चा: How the Claude Code team does code review ↗ 447 पॉइंट438 टिप्पणियाँटिप्पणियों सेजुड़ा हुआ लेख

अंग्रेज़ी से अनूदित। मूल पढ़ें

पक्ष में

विपक्ष में

शुरुआत

इस अंक से और