review-agent-governance — セットアップ

AI エージェントのレビューアクション (PR レビュー、コメント、マージ、CI 編集) を明示的な人間の承認の背後に置きます。承認または拒否されたすべての試みは、Ed25519 署名付きのレシートを生成します。

このプラグインを使う場合

Claude Code エージェントが以下のことを行うプロジェクトにインストールしてください:

• プルリクエストのレビュー、コメント、マージ (gh pr review, gh pr merge)
• Issue のトリアージ (gh issue comment, gh issue close)
• リリースの公開 (gh release create)
• CI 設定の変更 (.github/workflows/, .gitlab-ci.yml)
• 保護されたブランチへのプッシュ (main, master, release, production)
• 外部通知サーフェスへの投稿 (Slack webhook、Discord)

エージェントがローカルファイル編集とテスト実行のみを行う場合、このプラグインは不要です。汎用的なツール呼び出しポリシー適用には protect-mcp を使用し、このプラグインはスキップしてください。

ワンタイムセットアップ

1. プラグインをインストール

claude plugin install wshobson/agents/review-agent-governance

2. デフォルトポリシーをプロジェクトにコピー

cp .claude/plugins/review-agent-governance/policies/review-agent-governance.cedar \
   ./review-governance.cedar

このファイルを編集して、プロジェクトの特定のルールに合わせることができます。ポリシーの作成方法については ../agents/review-policy-author.md を参照してください。

3. レシートディレクトリと署名キーを作成

mkdir -p ./review-receipts
echo "./review-receipts/" >> .gitignore
echo "./review-governance.key" >> .gitignore
echo "./.review-approved" >> .gitignore

protect-mcp sign の最初の実行時にキーが作成されます。最初のレシートから公開鍵をコミットして、監査者が後で検証できるようにしてください。

セッションごとのワークフロー

Cedar ポリシーはレビューサーフェスアクションを無条件に拒否します。特定のアクションを承認するには、実行前に承認ウィンドウを開き、その後に閉じます。

フラグファイル (最もシンプル)

# 承認したいアクションの前に
touch ./.review-approved

# Claude Code にレビュー / コメント / マージを実行させる

# 直後に
rm ./.review-approved

スラッシュコマンド (Claude Code 内から)

/approve-review "PR #123 をレビュー中、投稿者は X 氏"

このコマンドは ./.review-approved を作成し、指定された理由をノートとして埋め込み、人間が承認したレシートをチェーンに書き込みます。ウィンドウを閉じるには、その後に rm を実行する必要があります。

ドライラン (全ポリシー評価を強制)

承認バイパスなしですべてのツール呼び出しを Cedar で処理したい場合:

export REVIEW_APPROVAL_FLAG=./.never-approve

forbid ルールにマッチするツール呼び出しは拒否されます。承認ウィンドウは無効です。CI または監査ロックダウン実行に便利です。

チェーンの検証

すべてのレシートを一覧表示:

ls -la ./review-receipts/

チェーン全体をオフラインで検証:

npx @veritasacta/verify ./review-receipts/*.json

終了コード 0 はすべてのレシートが本物でチェーンが完全であることを意味します。終了コード 1 はレシートが改ざんされたことを意味します。終了コード 2 はレシートが不正な形式であることを意味します。

最近の拒否を表示:

/list-pending

Claude Code 内のこのスラッシュコマンドはレシートチェーンを解析し、最近の decision: deny エントリをツール名、コマンドパターン、タイムスタンプとともに出力します。

例: PR レビューの承認

# 1. 人間がエージェントの提案コメントをレビュー
$ /list-pending
  Recent denials:
  - 2026-04-17T14:23:01Z  Bash "gh pr review 42 --approve --body 'LGTM'"
  - 2026-04-17T14:23:02Z  Bash "gh pr comment 42 --body 'Looking good'"

# 2. 人間が最初のものが適切だと判断し、承認
$ /approve-review "ビジュアルインスペクション後の PR 42 の LGTM を承認"
  ./.review-approved created

# 3. エージェントがアクションを再試行、今回は成功
$ agent: gh pr review 42 --approve --body "LGTM"
  [receipt: rec_XXX, decision=allow, reason=human_approved]

# 4. 人間がウィンドウを閉じる
$ rm ./.review-approved

すべてのステップがレシートチェーンに記録されます。チェーンはオフラインで検証可能で、規制当局、取引相手、またはレビューアクションが人間ゲートをバイパスしなかったことを確認したい下流監査者向けです。

protect-mcp との組み合わせ

両方のプラグインがインストールされている場合、並行して実行します:

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": ".*",
        "hooks": [
          {
            "type": "command",
            "command": "npx protect-mcp@0.5.5 evaluate --policy ./protect.cedar --tool \"$TOOL_NAME\" --input \"$TOOL_INPUT\" --fail-on-missing-policy false"
          }
        ]
      },
      {
        "matcher": ".*",
        "hooks": [
          {
            "type": "command",
            "command": "if [ -f ./.review-approved ]; then exit 0; fi; npx protect-mcp@0.5.5 evaluate --policy ./review-governance.cedar --tool \"$TOOL_NAME\" --input \"$TOOL_INPUT\" --fail-on-missing-policy false"
          }
        ]
      }
    ]
  }
}

ツール呼び出しが進行するには両方のフックが成功する必要があります。どちらかのポリシーで Cedar deny が発生するとブロックされます。

標準

• Ed25519 — RFC 8032 (デジタル署名)
• JCS — RFC 8785 (決定的 JSON 正規化)
• Cedar — AWS のオープン認可ポリシー言語
• IETF draft — draft-farley-acta-signed-receipts