code-factory

Code Factory

エージェントが変更を加えました。次は、何を受け入れるかを決めます。 Code Factory は、検出結果、ソースのコンテキスト、記録されたチェックを 1つのレビュートレイルにまとめます。検出結果を確認し、修正を選び、影響を受けるチェックを再実行します。 証拠を変更とともに残し、判断はご自身で行えます。 まずは次のコマンドを実行してください。

python -m pip install factoryline-code-factory
factory scan --root .

ワークフロー： スキャン → 検出結果を確認 → 修正 → テストと 影響を受けるチェックを再実行します。基本スキャンでは対象となる Python ソースを読み取りますが、 プロジェクトは実行しません。証拠が不足している場合は、問題なしではなく INCOMPLETE となります。

Python ソースの予算は、デフォルトで 2,000 ファイルです。factory scan --max-files 1000 を指定すると、1回の実行あたりの予算を小さくできます。予算を超えたスキャンは、ファイルを暗黙に 除外せず、明示的に停止します。この実行時の予算は、CF 自体のアーキテクチャ上の上限とは別です。 人間向けの出力には、検出結果の位置と、監査済み／検出済みのソース数が含まれます。 終了コード 0 は、ブロッキング対象の検出結果も失敗したチェックもないことを意味します。注意事項や証拠不足は 残る場合があります。終了コード 2 は、分析がブロックされたか、無効であることを意味します。Python の静的解析で 問題がなかったとしても、実行時のカバレッジやリリース承認が保証されるわけではありません。 Python のみを対象にする場合は --static-only を使用してください。デフォルトでは、該当する 他の証拠レーンも調整して実行します。JavaScript、shell、その他の言語の監査には 外部ワーカーが必要です。

現在のソースプレビュー — core 0.49.0、VS Code 1.3.0、JetBrains 1.3.0

範囲を限定したセキュリティレビューでは、サポート対象のローカルヘルパーを通じて値を HTTP、ファイル、SQL のシンクまで追跡し、アップロードディレクトリをサニタイズ済みのファイル名とは別に検査します。 Studio は共通の次のアクションを提示します。オプションの JEV 統合は参考情報として扱われ、利用できない評価は incomplete のままです。これらの変更は、 網羅的な分析や測定済みの検出精度を主張するものではありません。修正を適用する前に、検出結果を確認し、 影響を受けるチェックを実行して、何を受け入れるかを判断してください。

ビジュアルなワークスペースを使いたい場合は、factory studio --root . を実行してください。オプションが必要ですか？ factory --help では簡易ガイドを、factory --help-all ではすべてのコマンドを確認できます。 クイックガイドから始めてください。

pytest、ミューテーションテスト、CodeQL、Semgrep、レビュー用チェックリストはそのまま使い続けてください。CF は それらにテスト品質の検出結果と、ソースに紐づいたローカルの証拠を追加します。基本スキャンには、 導入手続き、署名キー、テナントの設定、Docker は必要ありません。ネイティブなワーカー実行には、 別途セットアップと安全要件があります。

Code Factory は製品です。内部エンジンと高度なガバナンス機能はオプションのワークフローであり、コードをレビューするための 前提条件ではありません。

アイデアから始めますか？

アイデアをコーディングエージェントに説明し、PRD.md を作成してください。オプションの 初心者向けガイドは、アイデアを具体的な受け入れチェックに落とし込むのに役立ちます。 既存のリポジトリの場合は、上記のスキャンから始めてください。

アイデアからレビュー可能な変更まで

新たに使い始める方は、アイデアから始め、期待される動作を具体化します。 経験豊富な開発者は、リポジトリまたは提案された差分から始めます。 SpecLine は要件の整理を支援し、ForgeLine はアーキテクチャとテスト意図の チェックを追加します。Code Factory は調査結果、証拠、次のアクションを 結び付けます。基本スキャンには、これらのオプションのワークフローは必要ありません。

その後、調査結果を確認し、コードを修正して、影響を受けるチェックを再実行します。 CodeRabbit、Devin、Blitzy などのコーディングエージェントやレビューサービスは 引き続きご利用いただけます。CF は、テスト意図のチェック、オプションのランタイム ミューテーション証拠、ソースにひも付けられたローカルのレシートを組み合わせて 提供します。レビューサービスもテストや分析を提供しており、CF の証拠を使うと、 それらと併せて作業を確認できます。

**デモ、2026年10月16日：**インストール済みのローカル CF ランタイムが架空の Python ファイル1件をスキャンし、仕込まれたセキュリティ上の問題を2件報告しました。 Studio には、評価済みのソースファイルが1/1件であることと、証拠が不完全であることが 表示されています。これらは実際のサンプル実行での観察結果であり、精度ベンチマーク、 JetBrains IDE のキャプチャ、リリース承認ではありません。未実行のランタイムレーンは 未実行として引き続き表示されます。

ご自身のリポジトリで、無料のローカルコアをお試しください。役に立った場合は、 GitHub にスターを付けると見つけてもらいやすくなります。フォークしてルールを改善したり、 再現可能な陽性例と陰性例を提供したりすることもできます。見逃した問題や誤検知の 報告も、貴重な貢献です。

Code Factory + ForgeLine（CF/FL）は、堅牢でローカルファーストのコード監査ファクトリーです。 候補となる変更について、ローカルのソフトウェアレビュー証拠を収集することから始めます。 要件、アーキテクチャチェック、Python AST セキュリティ分析、動作テストの証拠、 ワークフローの整合性、専門分野に特化した AI レビュー、実行可能な修正を結び付けます。 レシートはレビューを支援しますが、このツールはソフトウェアを認証したり、欠陥がないことを 保証したり、リリースを承認したりするものではありません。

**製品名について：**Code Factory は製品で、ForgeLine はその監査および アーキテクチャエンジンです。SpecLine、HSF、Prestige は、プロジェクトが該当する スコープを宣言した場合にのみ表示される高度な内部レーンです。スキャンを実行する前に、 新しいユーザーが習得しなければならない別製品ではありません。

Graph Ops の動作例

この全ページのローカルキャプチャでは、Graph Ops が封印された系譜からフォレンジック調査結果を経て、提案された復旧経路に至るまでの変更を追跡する様子を示しています。保護されたアクションはロックされたままです。ダッシュボードは読み取り専用の確認画面です。

Counterfactual Arena では修復候補を比較し、各候補の証拠とリスクを表示します。勝者のコントロールと証拠フロンティアでは、レビュー担当者が根拠を確認し、次の証明を選択する方法を示しています。

現在の Graph Ops UI では、ネイティブのディープスキャンの進捗、評価済みのディープ監査レシート、6 つのランタイムレーン、個々の JUnit テストケースも分けて表示します。各パネルには証拠の状態と次の修復が示されます。記録されたテストをフィルタリングまたは検索して、必要に応じてケースをさらに読み込みます。在庫情報やレポートが見つからない場合に、実行が合格として表示されることはありません。JUnit リーダーは最大 10,000 件のケースを受け入れ、それを超えるレポートや形式が不正なレポートには不完全のマークを付けます。JUnit レポートはローカルでの観測情報であり、現在の候補には紐付けられていません。

このローカル UI キャプチャでは、報告された各テストケースのステータスを示しています。監査カードでは、紐付けられた結果のないチェックに「未実行」と明示します。

補足：注釈付きライブ Assembly テレメトリ

ラベルは元のローカル Assembly キャプチャを説明しています。画像の実行は人間の入力を待機中です。これはリリース承認や、すべてのチェックに合格したことを意味するものではありません。

## より詳細な監査レーンの追加

factory scan --root . --deep

Deep モードでは、アーキテクチャ、Python のセキュリティとテストオラクルのチェック、ワークフローの整合性、要件、実行時カバレッジ、依存関係の証拠を統括します。 TypeScript/JSX、Go、Rust、Java、C/C++、C#、Ruby、PHP、Swift などの言語を明示的に一覧化します。ネイティブ解析がない場合、その分は未測定のままです。

許可されたネイティブ実行には、次を使用します。

factory scan --root . --deep --worker-config .factory/worker-config.json --json

設定には、ワークスペース相対の manifest、authorization、trust_root の各パスと、manifest_sha256、trust_root_sha256 のピンが含まれます。これにより、設定済みの CodeQL、Semgrep、シークレット、依存関係、コンテナ、実行時、ファズの各レーンに、既存の署名付き Docker ワーカーエンジンを呼び出します。署名されていない計画は拒否されます。ワーカーの実行が完了しても、独立したエージェントによるレビューが必要です。証拠やレビューが不足している場合、合格の判定は出せません。ネイティブ実行には、設定済みのイメージとツールが必要で、1 分以上かかる場合があります。未解決の各レーンには、次に必要なアクションが含まれます。レシートがあるだけでは検証済みとはみなされず、すべての欠陥を検出できると主張するスキャンはありません。

パッケージのメタデータでは、今回のソース更新から Production/Stable を使用します。このリリースステータスのラベルは、検出精度、独立したベンチマーク結果、プロバイダーによる公開とは別のものです。

対話型ターミナルでは、factory は任意で PyPI のバージョンを 1 回だけ平文で確認し、その結果を最長 24 時間キャッシュした後、新しいバージョンが利用可能になると通知を表示します。更新のダウンロードやインストールは行いません。この確認は、CI、JSON 出力、サーバー/MCP、ヘルプ、バージョン表示、非対話型の実行では通知なしで行われます。無効にするには FACTORY_DISABLE_UPDATE_CHECK=1 を設定します。この任意のリクエストに、プロジェクトのパス、アカウント識別子、使用状況データが含まれることはありません。オペレーターが別のプロバイダー連携を明示的に使用しない限り、すべての監査コマンドと証明コマンドはローカルで実行されます。

レビュー対象のプロジェクトからリポジトリのコマンドを実行してください。factory guide は読み取り専用のガイドであり、テストやエージェントは実行しません。

このリポジトリを調べる

次のコマンドでは、現在のアーキテクチャポリシー、範囲を限定した静的セキュリティスキャン、実行時監査の設定を確認できます。

factory architecture health --root . --json
factory audit security --root . --json
factory runtime-audit status --root . --json

factory audit security は、限られたソースパターンをチェックします。これは侵入テストではありません。実行時監査には、別途レビューされた計画と、その環境に固有の証拠が必要です。ステータスが NOT_RUN である場合や、静的スキャンの結果がクリーンである場合も、プロジェクト監査が完了したことにはなりません。

Graph Ops で個々のテストを表示するには、JUnit レポートを .factory/test-reports/pytest.xml に出力するようにテストスイートを実行します（例：python -m pytest --junitxml=.factory/test-reports/pytest.xml）。ローカルの Studio はレポートを読み取り、候補のバインディングに UNBOUND のラベルを付けます。ソースが変更された後も、結果が引き続き適用されるとは推測しません。

前回のスナップショットのリポジトリ自己監査レシートには、**A（97.9/100）**と、テスト意図に帰属する関数 1,085 件中 1,055 件（97.24%）が記録されています。この静的測定は、記録されたソースダイジェストに適用されます。この候補では、上記のクリーンな追跡対象スナップショットの結果に置き換えられており、実行時カバレッジや認定を示すものではありません。

ForgeLine 0.10.8 は、記録された metrics.scope.code_files に含まれる公開モジュール関数と公開クラスメソッドの Python の複雑度を計算します。_ で始まる名前は除外されます。AST メトリックでは、分岐、ブール演算の選択肢、例外ハンドラー、with、アサーションをカウントします。Ruff C901 は異なる McCabe メトリックを使用し、非公開関数もチェックします。そのため、CI では python -m ruff check --select C901 factoryline tests を上限 10 で別途実行します。ForgeLine の最大値を、すべての Python 関数の最大値として解釈しないでください。CI では、アクションと再利用可能なワークフローの参照に、変更不能なコミットのピンが指定されていることも確認します。汎用ワークフロー証拠バリデーターだけでは、それらの参照を検査しません。

リリース管理

候補版の事前チェックには、リリース頻度に関する審査と厳格なアーキテクチャ健全性チェックが必要です。保護された main には CI と、これとは別の専門担当による AI ソースレビューが必要です。コーディネーターはその評価を記録しますが、テストの証拠とは別に管理します。これは人による二度目の承認ではありません。プロバイダーによる公開とマーケットプレイスの承認は別個の結果です。リリースチャネルをご覧ください。

アーキテクチャ健全性チェックでは、成長予算を確認します。ForgeLine のリポジトリインベントリと機能 QA は別々のチェックです。現在のギャップレビューには、過去のパーサーの挙動を記録しています。現在の候補版でピン留めされたパーサーの結果は上記に記載されています。CF では ForgeLine 0.10.8 が必要であり、factory doctor --strict の実行中に実際の MJS、TS、TSX を対象とした機能 QA を確認します。静的なシグナルは、実行されたカバレッジでもセキュリティ認証でもありません。

詳細情報

• エンジニアリングレビューワークフロー
• GitHub Proof Review
• 商用提供と制限
• 監査条件インベントリ
• ランタイム保証の制限
• リリースチャネルと公開の証拠
• 変更履歴
• ドキュメントインデックス

更新された動画プレビュー

CF/FL の監査と修復を60秒で解説 — 2026年10月8日。字幕付き（音声なし）、最新の Graph Ops キャプチャ、範囲を限定したスキャナーの改善、およびエージェントによる修復に必要な証拠を紹介します。ソースのレンダリングデータは videos/code-factory-proof-of-survival/remotion にあります。

ネイティブのエージェントハーネスのプレビュー — 現在のソース候補版

ステータス：現在のソースのプレビューのみです。公開済みの Code Factory 0.48.1 に変更はありません。ローカルホイールへの同梱は主張していません。

ネイティブハーネスは、復旧用にインシデントのチェックポイントを保持し、レビューコンテキストのシャードをソースに紐付け、適用せずに候補の修復内容を比較します。予算内で行う Jev トリアージでは、未処理のインシデントを評価済みではなく、保留中として表示し続けます。並列監査はオプトインであり、作業が変更を加えず、リソースに対して安全であることを宣言する署名済みポリシーが必要です。シリアル実行がデフォルトであり、この宣言は分離を証明するものではありません。オプションのアクティベーション実験では、呼び出し元が明示的に登録したフックのみを呼び出します。その観測結果は実験的なものであり、モデルの認証や精度の証拠ではありません。ソースの分類体系とマニフェストは、実行と ID の制限を明示したまま、Junie に同じルートを定義します。

ネイティブスキャナーの拡張 — core 0.49.0 / editor 1.3.0 ソースプレビュー

修正： ネイティブスキャナーの制御では、脆弱性ありおよび安全の結果を、イメージ、プロファイル、ソースの各ハッシュに紐付ける必要があります。証拠が不足している場合は未完了のままになります。テスト意図の監査では、引数や await のアサーション、想定した例外が発生しなかった場合のチェック、呼び出されたローカルアサーションヘルパーを認識するようになりました。テストでのローカル直接シリアライズのラウンドトリップでは、情報提供の所見とカスタムリデューサーの警告が保持されます。 変更： エージェントは、factory scan --deep による概要を1つ使用し、プロジェクトの言語とリスクに合わせて選択されたネイティブワーカーを明示的に設定します。JavaScript／Actions ワーカーは、バンドル済みのコンパイル済みクエリを再ビルドせずに検証するようになり、レシートの検出では、無関係なログに対する明示的なファイルチェックを省略します。 追加： CodeQL による JavaScript／TypeScript のプロシージャ間解析、GitHub Actions に対する security-extended 解析、およびローカルの taint 追跡を含む10個の Python／JavaScript／TypeScript 向け Semgrep ルールを追加しました。CodeQL の制御ではネイティブのフロー証拠が必要です。Semgrep のコミュニティ出力は、ファイル間のカバレッジを示すものではありません。外部ソースの回帰テスト用コーパスには、requests、Rich、Click の上流ケースが含まれています。これらのソースフィクスチャは、サポート対象の回帰ケースをテストします。実行時の検証は別の手順です。

Code Factory は、パッケージメタデータが Production／Stable の堅牢なコード監査ファクトリーです。このソースプレビューは、新たなマーケットプレイスでの公開、すべてのリポジトリの実行時検証、または測定済みの検出精度を示すものではありません。

より小さなモデルで、より強力な品質ワークフローを実現

CF/FL は、決定論的なワークフロー、独立した監査、証拠に基づく修復を通じて、小規模な LLM が最先端モデルに近いコーディング性能を発揮できるよう導く設計です。封印されたタスクパケットにより、要件、範囲、受け入れチェックが明確に保たれます。これは設計上の目標です。モデル間の同等性とコスト削減を示すには、ペアベンチマークが必要であり、現在の帰属メトリクスでは確認されていません。