✓ Выжила 2-е место из 14 предложенныхИнди Безопасность 17 окт. 2026 г.

Аттестация человеческого ревью для pull request-ов, написанных агентами

Аудиторски пригодное доказательство того, что человек реально проверил каждое изменение, написанное агентом, с привязкой к контролям SOC2 и повторным одобрением для коммитов без подтверждения.

Открыть обсуждение ↗

Готовое ТЗ, которое можно вставить в Claude Code, Cursor или любого ИИ-агента для кода (на английском).

I want to build a small, bootstrappable product. Help me plan and start the MVP.

Product: Human-review attestation for agent-authored pull requests
What it is: Audit-grade proof that a human actually reviewed each agent-written change, mapped to SOC2 controls, with re-approval on unvouched commits.
Who pays: Compliance-minded engineering leads and GRC managers at SOC2-bound SaaS companies adopting coding agents, $300–1,500/mo on the compliance/security budget
Closest alternatives: GitHub CODEOWNERS + branch protection, LinearB / Swarmia (eng metrics, not audit), Vanta/Drata (control checklists, no per-commit evidence)
The gap: Branch protection proves an approval click happened, not that a human meaningfully reviewed an agent-written diff; GRC platforms track controls but collect no per-commit review evidence. Nothing ties agent provenance, risk tier, review depth, and flag-activation events into an auditor-ready trail.
Why now: Enterprises are rolling out coding agents in 2025 while auditors are only now encountering agent-authored code; SOC2 reviewers are beginning to ask how human review is enforced, and no tooling answers it.
Moat to build toward: Becomes the system of record for review compliance; historical attestation data and auditor integrations create switching costs.
Biggest risk: GitHub or the GRC platforms (Vanta/Drata) add a native 'AI-authored code' control and evidence collector, absorbing the feature.

First three steps:
1. GitHub App that tags PRs as human- or agent-authored, enforces a second-human approval rule for agent PRs, and invalidates approvals on post-approval agent pushes
2. Evidence capture: records review time-on-diff, comments, and reviewer identity into an exportable, tamper-evident audit log mapped to SOC2 CC controls
3. Flag-activation hook: turning on a feature flag for agent-written code triggers a required review checkpoint

Start by asking me up to five questions about constraints (stack, budget, timeline), then propose the smallest version a paying customer would use, and scaffold it.

Итого6.4/10

Боль6

Готовность платить6

Своевременность8

Ниша6

Защищённость5

Реализуемость8

За

Кто платит

Инженерные руководители и GRC-менеджеры в SaaS-компаниях с SOC2, внедряющих coding-агентов, $300–1,500/мес из бюджета на compliance/безопасность

Что говорили люди · 2

Компания спрашивает, как одобрение только от автора проходит SOC2: их аудитор требовал минимум одного другого человека для ревью кода, и поднимаются опасения по поводу инсайдерских угроз. Читать комментарий ↗
Флаг-гейтированные merge-ы с пометкой «низкий риск» переносят реальный риск на момент активации флага, что текущие уровни ревью не учитывают. Читать комментарий ↗

Пересказ обсуждения. Оригинальные комментарии доступны по ссылкам.

Конкуренты и пробел

GitHub CODEOWNERS + branch protectionLinearB / Swarmia (eng metrics, not audit)Vanta/Drata (control checklists, no per-commit evidence)

Branch protection подтверждает, что кнопка одобрения нажата, но не то, что человек содержательно проверил diff, написанный агентом; GRC-платформы отслеживают контроли, но не собирают доказательств ревью по каждому коммиту. Нет инструмента, который связывал бы происхождение от агента, уровень риска, глубину ревью и события активации флагов в трейл, пригодный для аудитора.

Почему сейчас

Компании разворачивают coding-агентов в 2025 году, а аудиторы только начинают сталкиваться с кодом, написанным агентами; ревьюеры SOC2 начинают спрашивать, как обеспечивается человеческое ревью, и готового ответа в инструментах нет.

Защищённость · 5/10

Продукт становится системой записи для compliance-ревью; накопленные данные аттестаций и интеграции с аудиторами создают издержки переключения.

Против

Красная команда: Аудиторы только начинают встречать код, написанный агентами, и ни один инструмент не связывает происхождение от агента с доказательствами человеческого ревью по каждому коммиту для SOC2, хотя GitHub может закрыть значительную часть разрыва функциями provenance.
Что может её погубить: GitHub или GRC-платформы (Vanta/Drata) добавляют нативный контроль для «AI-authored code» и сборщик доказательств, поглощая функцию.

Начало

Первые три шага: GitHub App, который помечает PR как написанные человеком или агентом, требует одобрения второго человека для PR агентов и сбрасывает одобрения при пушах агента после одобрения
Сбор доказательств: фиксирует время просмотра диффа, комментарии и личность ревьюера в экспортируемый защищённый от подделки аудит-лог, сопоставленный с контролями SOC2 CC
Хук активации флага: включение фича-флага для кода, написанного агентом, запускает обязательную точку контроля ревью
Исходное обсуждение: How the Claude Code team does code review ↗ 447 баллов438 комментариевИз комментариевСтатья по ссылке

Переведено с английского. Читать оригинал

За

Против

Начало

Ещё из этого выпуска