✓ Sobreviveu 2º de 14 propostasIndie Segurança 17 de out. de 2026

Atestado de revisão humana para pull requests escritos por agentes

Prova de auditoria de que um humano realmente revisou cada mudança escrita por agente, mapeada para controles SOC2, com nova aprovação exigida em commits sem validação.

Abrir a discussão ↗

Um briefing pronto para colar no Claude Code, Cursor ou qualquer agente de programação (em inglês).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Human-review attestation for agent-authored pull requests
What it is: Audit-grade proof that a human actually reviewed each agent-written change, mapped to SOC2 controls, with re-approval on unvouched commits.
Who pays: Compliance-minded engineering leads and GRC managers at SOC2-bound SaaS companies adopting coding agents, $300–1,500/mo on the compliance/security budget
Closest alternatives: GitHub CODEOWNERS + branch protection, LinearB / Swarmia (eng metrics, not audit), Vanta/Drata (control checklists, no per-commit evidence)
The gap: Branch protection proves an approval click happened, not that a human meaningfully reviewed an agent-written diff; GRC platforms track controls but collect no per-commit review evidence. Nothing ties agent provenance, risk tier, review depth, and flag-activation events into an auditor-ready trail.
Why now: Enterprises are rolling out coding agents in 2025 while auditors are only now encountering agent-authored code; SOC2 reviewers are beginning to ask how human review is enforced, and no tooling answers it.
Moat to build toward: Becomes the system of record for review compliance; historical attestation data and auditor integrations create switching costs.
Biggest risk: GitHub or the GRC platforms (Vanta/Drata) add a native 'AI-authored code' control and evidence collector, absorbing the feature.

First three steps:
1. GitHub App that tags PRs as human- or agent-authored, enforces a second-human approval rule for agent PRs, and invalidates approvals on post-approval agent pushes
2. Evidence capture: records review time-on-diff, comments, and reviewer identity into an exportable, tamper-evident audit log mapped to SOC2 CC controls
3. Flag-activation hook: turning on a feature flag for agent-written code triggers a required review checkpoint

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Geral6.4/10

Dor6

Disposição a pagar6

Momento8

Lacuna6

Fosso5

Viabilidade8

A favor

Quem paga

Líderes de engenharia com foco em compliance e gerentes de GRC em empresas SaaS sujeitas a SOC2 que adotam coding agents, $300–1.500/mês no orçamento de compliance/segurança

O que as pessoas disseram · 2

Questiona como uma aprovação apenas do autor passa no SOC2, observando que o auditor exigiu pelo menos mais um humano revisando o código, e levanta preocupações de insider threat. Ler o comentário ↗
Aponta que merges de 'baixo risco' protegidos por flag transferem o risco real para a ativação da flag, algo que os níveis atuais de revisão não capturam. Ler o comentário ↗

Parafraseado da discussão. Siga os links para ler os comentários originais.

Concorrentes e lacuna

GitHub CODEOWNERS + branch protectionLinearB / Swarmia (eng metrics, not audit)Vanta/Drata (control checklists, no per-commit evidence)

A branch protection comprova que um clique de aprovação aconteceu, não que um humano revisou de fato um diff escrito por agente; plataformas de GRC acompanham controles, mas não coletam evidências de revisão por commit. Nada conecta proveniência do agente, nível de risco, profundidade da revisão e eventos de ativação de feature flags em uma trilha pronta para auditoria.

Por que agora

Empresas estão implantando coding agents em 2025 enquanto auditores só agora encontram código escrito por agentes; revisores SOC2 começam a perguntar como a revisão humana é garantida, e nenhuma ferramenta responde a isso.

Fosso · 5/10

A solução se torna o sistema de registro da conformidade de revisão; o histórico de atestados e as integrações com auditores criam custos de troca.

Contra

Time vermelho: Auditores só agora estão lidando com código escrito por agentes, e nenhuma ferramenta liga a proveniência do agente a evidências de revisão humana por commit para SOC2; ainda assim, o GitHub poderia fechar boa parte dessa lacuna com recursos de proveniência.
O que a faria fracassar: GitHub ou as plataformas de GRC (Vanta/Drata) adicionam um controle nativo para 'código gerado por IA' e um coletor de evidências, absorvendo a funcionalidade.

Começar

Primeiros três passos: GitHub App que marca PRs como escritos por humano ou por agente, exige aprovação de um segundo humano em PRs de agentes e invalida aprovações após pushes do agente feitos depois da aprovação
Captura de evidências: registra tempo de análise do diff, comentários e identidade do revisor em um log de auditoria exportável e à prova de adulteração, mapeado para os controles SOC2 CC
Hook de ativação de feature flag: ligar uma flag para código escrito por agente dispara um checkpoint de revisão obrigatório
Discussão original: How the Claude Code team does code review ↗ 447 pontos438 comentáriosDos comentáriosArtigo vinculado

Traduzido do inglês. Ler o original

A favor

Contra

Começar

Mais desta edição