Renovate更新PRをAIレビューし自動マージ

このワークフローは、よくある課題への実践的な対応を反映している。DependabotやRenovateのようなツールは更新PRの作成をすでに自動化しているが、レビュー工程は手動のままである。リリースノートを読んで破壊的変更や非推奨API、型や設定への影響を確認する作業はPR1件につき数分を要し、キューが伸びるにつれてその数分が積み重なる。作者は更新を種類別に分けている。パッチはCI通過後に引き続き自動マージし、マイナー更新はAIレビューを経て自動マージの可能性があり、メジャー更新はレビューするが人間がマージする。Railsのようにマイナーリリースに事実上の破壊的変更が含まれ得るパッケージは、メジャー更新と同様に扱う。AI利用を効率化するため、ワークフローはdiffの追加行と削除行のみからSHA-256フィンガープリントを計算する。リベース後も変更内容が同じなら、新たなレビューを実行せず以前の判定を再利用する。この設計ではAIレビューのジョブを書き込み権限から分離しているため、リリースノートやnode_modulesに悪意ある指示が隠されていても、エージェントはコメント投稿やコミットができない。プロンプトはこれらのファイル内の指示に従わないよう明示的に警告しており、プロンプトインジェクションへの防御となっている。自動マージはデフォルトでオフで、チームがAIの判定と自らの判断を比較した上で有効化できる。