AIエージェントにコードを書かせると、次に気になるのは「本当に正しく動くのか」という点です。この悩みへの答えとして、AIが別のAIを審査する仕組みと、エージェントを安全な場所に閉じ込めるサンドボックス技術が、ここ数か月で次々と形になっています。前回に続くエージェント追跡の今回は、この2つの方向から最新の動きを追いました。
まず注目したいのが、個人開発者が4か月かけて仕上げた「ReviewerAgent」です[3][4]。gitのコミットを一度ブロックし、ステージングされたファイルを別のエージェントに審査させて、問題があれば修正を求めます。開発役にはClaude CodeやCodexを使い、審査役はPiという経由先を通して別のモデルにすることもできます。作者の出発点は「どんなに新しいモデルでもミスはするが、そのミスはLunaのような小さなモデルでも見つけられる」というものです。動作確認はmacOSとLinux(Ubuntu)で行われ、導入や更新をエージェントが手伝うスクリプトも用意されています。
実際の数字がなかなか雄弁です。6月下旬からの4か月間で3877件のコミットを審査し、レビューは合計約7600回。コミットの半数近くが、少なくとも一度は差し戻されました。1回の拒否で平均2件の修正を指摘し、9割は5回以内の再審査で通過しています。コミットが大きいほど審査は厳しく、50行未満では23%しか戻されなかったのに対し、大きめのコミットでは72%に達しました。興味深いのは開発側の反応で、直近1か月の693件の拒否に対し、異議を唱えたのはわずか3件です。もうひとつの同梱ツール「StopContinue」は、エージェントが作業を途中で切り上げたり、答えを知っているはずの質問をしたりした場面を検出します。検出した場合は、計画書と会話履歴に基づいて「続けて」と指示を出す仕組みです。
同じ発想は、より構造的な形でも現れています。Claude Code用プラグイン「agent-peer-review」は、ClaudeとOpenAIのCodex CLIという2つのAIが、同じ範囲を互いに見せずにレビューする「盲検」方式を採用しました[2]。両者の指摘をファイル名と主張のハッシュで照合して重複を潰し、双方から挙がった項目には高信頼の印を付けます。スタイル上の指摘は討論の対象から外す配慮もあります。その後は項目ごとに賛成、譲歩、擁護、退けるの立場を示して討論し、収束したかどうかはAIの宣言ではなく項目表から機械的に判定します。単独のレビューより多くの問題を拾うのが狙いで、コードレビュー専門のエージェントスキルを公開する動きも相次いでいます[5]。
もうひとつの流れが「隔離」です。エージェントに自由にコマンドを実行させるなら、動かす場所を安全に区切る必要があります。Hacker Newsでは、技術リードを「演じる」エージェントをgVisorでサンドボックス化するプロジェクト「MIKE」が紹介されました[1]。gVisorは、アプリからOSへの要求を横取りして危険な操作を防ぐ、Google製の隔離レイヤーです。隔離の手法を解説する記事も増えています[6][7]。Firecrackerのような軽量な仮想マシン(マイクロVM)や、gVisor、WASM(軽量な実行形式)まで、選択肢が整理されつつあります[8]。本番環境向けには、E2BやModal、Daytona、DockerとgVisorの組み合わせといった実行基盤の比較も登場しました。
しかし、材料を眺めるほど、まだ道半ばの印象も強いです。ReviewerAgentもagent-peer-reviewも個人の試作品であり、Hacker Newsでの反応はコメント11件と0件にとどまります[1][3]。二つのAIを回す仕組みは、Claude Pro(月20ドル)とCodex CLIという有料契約を両方必要とし、コストの壁があります[2]。さらに、開発側エージェントが審査にほぼ従う状況では、審査役のAI自身の正しさをどう担保するのかという新たな問いが生まれます。隔離についても、起動の速さや運用コストとの兼ね合いが比較の軸になっており、強く隔離するほど手間が増えるトレードオフがあるようです。
エージェント開発の関心は、賢さを上げることから、出力を確かめて安全に閉じ込める工程へ進んでいるようです。審査と隔離は、どちらも「AIは失敗する」を前提にした設計です。それだけ、長時間稼働させるエージェント運用が現実のものになってきたということなのでしょう。次に見たいのは、審査役AIの品質そのものをどう評価するかという、一段深い工程です。
RECENT COMMENTS