【ITニュース解説】Meet LiveReview: Auto Approve 30-50% of Your Low-Risk PRs, Safely

現代のソフトウェア開発現場では、AIの進化により、プログラムのコードを書くことが以前よりもずっと簡単になった。AIが素早く大量のコードを生成できるようになり、開発者は多くのアイデアを形にできるようになった反面、新たな課題も生まれている。それは、AIが書いたコードの品質を保証するための「コードレビュー」だ。

コードレビューとは、自分が書いたコードを他の開発者、特に経験豊富なシニアエンジニアにチェックしてもらい、問題がないか、より良い方法がないかを確認するプロセスだ。このレビュー作業は、システムの品質を保ち、将来のトラブルを防ぐ上で非常に重要だが、AIが生成したコードの量が増えるにつれて、その負担が劇的に増大している。

現在、多くの開発チームでは、どんなに小さな変更を加えたコード（これを「プルリクエスト」と呼ぶ）でも、同じようにシニアエンジニアが時間をかけてレビューしているのが実情だ。例えば、変数の名前を少し変更しただけの簡単な修正も、システムの中核となる支払い機能を大きく作り変えるような複雑でリスクの高い変更も、同じようにレビューの順番を待つことになる。このため、シニアエンジニアはすべてのプルリクエストを詳細に確認することが難しくなり、時には表面的なチェックに留まってしまうこともある。結果として、本当に重要な変更や、潜在的なリスクをはらんだ変更が見過ごされ、予期せぬシステム障害につながる可能性があった。このような状況は、シニアエンジニアが開発プロセスの「ボトルネック」となり、チーム全体の開発速度を低下させる原因にもなっていたのだ。

このような課題を解決するために開発されたのが「LiveReview」という新しいシステムだ。LiveReviewの目的は、コードレビューのプロセスを効率化し、システムの品質を維持しながら、開発チームがよりスムーズに、より安全にソフトウェアを開発できるようにすることにある。

LiveReviewの最も重要な機能の一つは、すべてのプルリクエストに「リスクスコア」を付与することだ。このスコアは、そのコードの変更がシステムに与える潜在的な危険度を示すもので、数値が低いほど安全、高いほどリスクが大きいと判断される。そして、このリスクスコアに基づいて、最も安全だと判断されたプルリクエストの30%から50%を自動的に承認する。これにより、シニアエンジニアは単純で安全なコードのレビューに時間を費やす必要がなくなり、より重要でリスクの高い変更に集中できるようになるのだ。残りのリスクのあるプルリクエストについては、リスクの高さに応じてレビューの優先順位が決められ、適切な経験を持つエンジニアへと割り当てられる。

では、このリスクスコアはどのようにして計算されるのだろうか。LiveReviewは、主に三つの要素を組み合わせてこのスコアを生成する。一つ目は、最新のAI技術である「大規模言語モデル（LLM）」を使った分析だ。これは、変更されたコードの内容を自然言語で理解し、「この変更が具体的に何をするのか」を把握する。二つ目は、その開発チーム自身の過去のデータに基づく「カスタム機械学習モデル」だ。このモデルは、過去に発生したシステム障害（インシデント）や、問題が発生して元に戻された変更（ロールバック）、手動で修正された変更（オーバーライド）といった具体的な履歴を学習している。これにより、そのチーム固有のリスクパターンを認識し、将来のリスクを予測できる。三つ目は、プログラムの構造を分析する「静的グラフベースのコードベース分析」だ。これは、コードが変更されたときに、その変更がシステム内の他のどの部分に影響を及ぼす可能性があるかを調べ、その影響範囲（ブラスト半径）を評価する。これらの情報を総合的に判断することで、変更の真のリスクが詳細に評価される。

LiveReviewは、プルリクエスト全体のリスクだけでなく、コードの変更箇所を細かく区切った「ハンク（hunk）」という単位でリスクを評価できる点も画期的だ。例えば、共有認証チェックのようなシステムの中核部分へのたった3行の変更が、見た目は大規模だがUI（ユーザーインターフェース）の調整といった比較的重要度の低い300行の変更よりも、はるかに高いリスクを持つと判断されることがある。これにより、レビューを行うエンジニアは、コード全体のすべての行を漫然と読むのではなく、最もリスクの高い部分に意識を集中し、効率的かつ確実に問題を発見できるようになる。

また、LiveReviewはコードの変更が開発サイクルの様々な段階でチェックできる。例えば、コードをコミットした時、共有リポジトリにプッシュする前、プルリクエストの作成時、自動テストが実行される「CI/CDパイプライン」の段階、さらには定期的なチェックまで、必要に応じてこれらの段階でリスク評価を組み込むことができる。開発チームは、リポジトリの重要度に応じて、これらのチェックポイントを柔軟に設定できる。例えば、使い捨ての実験的なリポジトリであればコミット時の軽いチェックだけで十分かもしれないが、支払いシステムや認証システムといった非常に重要なインフラのリポジトリでは、すべての段階で厳重なチェックを行うことができる。

さらに、LiveReviewはCI/CDパイプラインに「ゲート」を設ける機能も提供する。これは、レビューで特定の種類の問題が見つかった場合に、それ以上の開発プロセス（例えば、テスト環境へのデプロイ）を自動的に停止させる仕組みだ。開発チームは、このゲートの条件を自由に設定できる。例えば、セキュリティを最優先するチームであれば、セキュリティ上の問題が一つでも見つかったらすぐにブロックする設定にできるし、開発速度を重視するスタートアップ企業であれば、コードの正確性やユーザー体験に関する大きなバグが見つかった場合にのみブロックするといった設定も可能だ。

AIがコードを生成する時代において、エンジニアがそのコードを本当に理解しているかという問題も重要だ。LiveReviewは、「Cognitive Coverage」という機能を通じて、この問題にも対処する。これは、AIが書いたコードのレビューごとに、わずか60秒で内容を要約した資料を提供したり、1分以内で完了する簡単なクイズを出題したりすることで、エンジニアがコードの意図や挙動を正しく理解しているかを確認できるよう支援する。

その他にも、LiveReviewは開発に関する様々なデータを質問に答える「Livi」というAIアシスタント機能を提供する。これは、WebブラウザやSlack、Teamsといったコミュニケーションツール上で、自然な言葉で質問に答えてくれ、50種類以上のグラフでデータを可視化できる。また、LiveReviewはGitHub、GitLabなどの主要なGitプロバイダーと連携し、ClaudeやOpenAIといった既存のAIサービスを再利用できるなど、既存の開発環境にスムーズに統合できる。そして何よりも、このLiveReviewは無料で利用でき、自分たちのサーバーで動かす「自己ホスト」も可能だ。これにより、チームの規模が大きくなっても、レビューの数が増えても、追加費用を気にすることなく導入できる。

なぜLiveReviewが今、これほど重要なのか。従来のAIを使ったコードレビューツールは、プルリクエストに多くのコメントを追加するものが多かった。しかし、コメントの量が増えること自体が目標ではない。LiveReviewが目指すのは、システム障害を減らし、コードの巻き戻し（ロールバック）を減らし、そしてシニアエンジニアがレビューに費やす貴重な時間を減らすことなのだ。

このアプローチは、Facebookを運営するMeta社が内部で使っているAIレビューシステム「RADAR」の考え方に基づいている。Meta社では、このリスクベースのレビューシステムを導入した結果、本番環境でのシステム障害が50分の1に減り、コードのロールバックが3分の1に減り、レビュー速度が35%も向上するという驚くべき成果を出している。LiveReviewは、この成功したアイデアを、どの開発チームでも、どのGitサービスを使っていても、無料で、自分たちの環境で利用できるように提供するものだ。

LiveReviewが導入されることで、レビュー担当者はすべてのコードの変更を細かく読む必要がなくなり、本当にリスクのある50%から70%の変更に全神経を集中できるようになる。LiveReviewは、そもそも人間がレビューする必要があるのか、そしてレビューする場合には何が最も重要なのかを判断する、開発プロセスの新しい層となることで、開発をより安全に、より効率的に進めることを可能にするシステムと言える。