AIのサイト運営で着手と公開の承認を分離

hirostaの構成では、GitHub Actionsがmainからデプロイするため、公開がmainへのマージに直結する。マージの判断がすべて本番の判断になる。そこで同社は作業開始の承認と公開の承認を分け、別々のラベルを使い、軽い了解ではなく明示的なマージ依頼を求めている。

AIの行動範囲を狭める境界も紹介されている。認証情報はエージェントと共有せず、GitHub操作の失敗をトークンや設定変更の理由にはしない。AIがリポジトリ接続設定を書き換えようとした際は安全検査が拒否し、人が変更を実施した。外部ページやファイルは指示ではなく信頼できない素材として読み、この切り分けをOWASPの間接プロンプトインジェクションの説明に関連付けている。

止まった作業から生まれた修正もある。記事スラッグにシークレットらしき文字列が含まれて誤検知が起きたため、検査範囲を見直し、報告ファイル名やスラッグも検査対象と記した。同じファイルを触る2つのタスクがPRで衝突し、同時実行を禁じる規則につながった。これらは測定した検出率や事故削減効果なしに、hirosta自社サイトでの実践として示されている。