obra-cto

Obra CTO

コードベースのビルド準備度をスコアリングする、ローカルファーストの MCP サーバーです。ご自身の Claude にインストールします。Claude はお使いのマシン上でコードを読み、テストを実行します。データがアップロードされることはありません。

これは Obra の役割別ラインナップの無料プレビューで、今後も無料かつローカルで利用できます。CTO はコードを読み、投資家による技術デューデリジェンスで見つかるものを伝えます。実際のセキュリティ上の穴、設計上の弱点、厳密なレビューを妨げる不足点などです。残りのチーム（資金調達向け資料を作成する Obra CFO など）は、Build with Obra コミュニティで利用できます。

Obra 創業者向けツールキット

ペアでの利用を想定して構築された、無料、ローカル、オープンソースの MCP が 2 つあります。

• Obra CTO（このツール）：構築できていますか？コードベースをスコアリングし、技術デューデリジェンスで指摘される点を明らかにします。GitHub · npm
• Obra CFO：資金調達できる状態ですか？ピッチに対して投資委員会の審査を行い、検証済みのビルドを資金調達の根拠にまとめます。GitHub · npm

まず CTO を実行してください。CFO はそのレポートを最高評価の技術的証拠として読み込みます。手法、詳細版、ベータ版の Obra は、Build with Obra で利用できます。

ローカルファーストの理由

コードを読むツールが、コードをどこかへ送信すべきではありません。ソースコードがマシンの外に出ることはありません。このサーバーがネットワークに接続するのは、依存関係のチェックを実行するときだけで、その際も OSV 脆弱性データベースにパッケージ名とバージョンを送信するだけです。コードが送信されることはありません（この 1 回の接続は src/deps.ts で確認できます）。それ以外はすべてローカルで行われ、件数、存在フラグ、秘匿化されたシークレットのスキャン結果、スコアを返します。実行前にこのサーバーのコードを一行残らず確認できます。それがオープンにしている理由です。

利用できる機能

プロジェクトの段階（プロトタイプ、MVP、成長段階）に応じて調整された、100 点満点の Obra CTO Score を 6 つの評価軸で算出します。

評価軸	配点
セキュリティ	25
プロダクトの実態（実際に構築されているもの）	20
堅牢性	15
アーキテクチャ	15
保守性	15
デプロイ準備度	10

すべての指摘には、証拠の評価グレードが付与されます。A は検証済み、B は複数の情報源、C は部分的または推論、D は主張のみ、E は推測です。スコアは、コード内で真実であることを示す A および C の証拠に基づいて算出されます。ピッチ資料の記述は評価対象ではありません。CTO がテストを実行して合格した場合、信頼性はグレード A になります。ピッチ資料を採点するツールでは、決してこれを獲得できません。

実行結果の例

実際のプロジェクトを指定すると、リスクを優先度順にまとめたスコア付きレポートが得られます。小規模な Supabase アプリを実行した例です（匿名化済み）。

# Obra CTO Score: financeapp
## 46 / 100 · Not yet ready
Assessed as: mobile (react-native, expo)  |  Backend: supabase

| Dimension        | Score | Evidence |
|------------------|-------|----------|
| Security         | 6/25  | A |
| Product reality  | 20/20 | A |
| Robustness       | 3/15  | A |
| Architecture     | 9/15  | A |
| Maintainability  | 6/15  | A |
| Deploy readiness | 2/10  | C |

## Top Risks
- [critical] RLS policies defined but never enabled; data may be open to any authenticated user
    Fix: enable row level security on every table, then verify a second user cannot read your rows.
- [high] Access control gap: a privileged action checks only that the user is logged in, not that they own the resource
- [medium] No tests found

よく構築されたアプリでは高いスコアになり、優れたエンジニアリングが評価されます。恐怖をあおるのではなく、実態に即して評価します。

ツール

• scan_project はプロジェクトを読み込み、機械的に検出したシグナルを返します。
• check_dependencies はロック済みの依存関係を OSV 脆弱性データベースと照合します。マシンの外に送信されるのはパッケージ名とバージョンのみで、コードが送信されることはありません。
• run_tests はテストスイートを実行し（コードを実行するため、Claude が事前に確認します）、合格数と失敗数を解析します。
• prepare_code_review はシグナルの強いファイル（スキーマファイルやポリシーファイル、エントリーポイント、セキュリティ関連のコード）を選び、スタックに合わせたチェックリストとともに Claude に渡します。これには、Backend-as-a-Service の観点（Supabase、Firebase）や、コードだけでなくアーキテクチャも批評する設計レッドチームが含まれます。
• score_build_readiness は、トップリスクの一覧を含む Obra CTO Score を算出します。

通常の実行手順は、スキャン、依存関係のチェック、テストの実行、コードレビューの準備、スコア算出の順です。

インストール

Claude の MCP 設定（Claude Desktop または Claude Code）に追加します。

{
  "mcpServers": {
    "obra-cto": {
      "command": "npx",
      "args": ["-y", "obra-cto"]
    }
  }
}

次に、Claude に「Obra CTO でこのプロジェクトのビルド準備度をスコアリングしてください」と尋ねてください。

ソースから実行する場合は、リポジトリをクローンし、npm install && npm run build を実行して、設定で node /absolute/path/to/obra-cto/dist/index.js を指定してください。

これは何ではないか

リンターでも、セキュリティスキャナーでも、コードを読むあなた自身の Claude に代わるものでもありません。資金調達の準備における技術デューデリジェンスへの備えです。投資家の CTO が尋ねる質問に、実際のコードをもとに答えます。

今後の展開

Obra CTO は無料プレビューです。さらに詳しく知りたい方は、以下をご覧ください。

• The Method： AI を活用して本番ソフトウェアを出荷するための完全なプレイブックです。上記の例のようにコードを評価してもらうための規律をまとめており、各レッスンには今日から使える貼り付け用のプロンプトやツールが付属します。
• チームの他のメンバー： 資金調達に備えた資料を作成する Obra CFO と、今後リリースされる各役割です。
• Obra 本体、ベータ版： バックオフィスを運営する AI 従業員です。メンバーが先行して利用できます。

ツールセット全体と今後の展開については、https://get-obra.com/build をご覧ください。

完全版のメソッドとコミュニティは、Build with Obra にあります：https://www.skool.com/build-with-obra-5361/about

ライセンス

Apache-2.0。