GitHubは11月6日、Copilotコードレビューの設定をAPIで管理し、レビューの作成主体と根拠の出典を確認する機能を公開した。エンタープライズ・組織・リポジトリの管理者は、それぞれの権限に応じて設定管理を自動化でき、開発者は簡潔になったレビュー要約で指摘事項を確認できる。

1. 設定管理とレビュー作成主体の確認をAPIに拡張した

従来のREST APIでは、レビューを依頼し、強度を指定して結果を受け取ることができた。新機能はCopilotが作成したレビューとコメントに作成主体を明示し、自動化ツールがCopilotの結果を識別できるようにする。設定管理はRESTとGraphQL APIで提供される。

レビューに適用された強度は、対象を説明する付加情報であるメタデータが提供される場合に確認できる。コメントごとに、Copilotが根拠の出典として報告したスキル、MCPサーバー、カスタム指示も確認できる。スキルは作業に使う機能のまとまりで、MCPサーバーは外部ツールをつなぐ経路だ。

管理権限は役割ごとに分かれる。エンタープライズ管理者は、すべての組織でコードレビューを有効または無効にでき、利用するかどうかの判断を組織管理者に委ねることもできる。組織管理者は、機能の利用可否、既定のレビュー強度、実行環境の設定を管理する。

リポジトリ管理者は、レビュー強度と、カスタム指示やMCPツールをレビューに使うかどうかを決める。REST APIはWeb画面と同じレビュー強度の選択肢を提供し、組織・リポジトリ設定のレスポンスには利用可能な選択肢が含まれる。

2. 管理範囲に合わせて認証手段と権限を決める

エンタープライズが管理する設定は組織では変更できず、エンタープライズ・組織設定APIと組織実行環境APIは、GitHub Appsおよび権限範囲を細かく制限した細粒度の個人用アクセストークンに対応しない。リポジトリ設定APIは両方の認証手段に対応し、従来方式の個人認証トークンであるクラシック個人用アクセストークンにはリポジトリ管理者権限が必要だ。

リポジトリ設定の読み取りにはAdministration: read、変更にはAdministration: write権限が必要だ。GitHubは、APIで設定する方法を案内する別のドキュメントへのリンクも示した。

3. レビュー要約を短くし、フィードバックの経路を設けた

新しい要約では、レビュー強度とアンケートが小さなフッターに移る。スキップされたファイルと内容が除外されたファイルは「レビューされなかったファイル」にまとめられ、ファイル名と除外理由へのリンクが表示される。内容のない項目は非表示になり、長い一覧では表示範囲を超えた項目数が示される。

同じプルリクエストを再レビューする際、最近の変更に関係のない指摘は折りたたまれ、非表示になる。開発者は繰り返しのレビューで、最近の変更に関連する指摘に集中しやすくなる。

ユーザーは要約に低評価を付けた後に理由を追加し、同意できない承認判断や長すぎるコメント、誤った指摘や細かすぎる指摘などの問題種別を選択できる。GitHubは、この意見をCopilotの指摘の改善に活用するとした。フィードバック収集を拒否した組織にアンケートが表示される問題も修正された。

4. レビュー使用量と自動依頼の適用範囲を確認する

コードレビューのエージェントセッションには、レビューで使用したAIクレジットが表示される。これはAI使用量を計算する課金単位だ。レビュー強度については、同社の発表によると、バランス強度のレビューでは3つのレビューモデルを使い、別の1つのモデルが結果を統合する。

自動レビューのリポジトリルールに除外リストが追加された。リストに登録されたユーザーやアプリなどは自動レビューの対象から外れる。

外部のCopilotライセンスで依頼されたレビューをブロックする設定が有効でも、組織がレビュー費用を負担する場合、GitHub Actions、Dependabot、組織・エンタープライズ所有のアプリは、ボットが作成したプルリクエストにレビューを依頼できる。

5. 再試行と設定保持で運用の流れを改善した

同社の発表によると、失敗またはタイムアウトしたレビューは自動で1回再試行され、優先モデルが使えない場合は利用可能な別のモデルに切り替えられる。サービス更新中に進行しているレビューには、完了までの時間が追加される。開始直後に誤って失敗と表示され、結果が破棄される問題も修正された。

機能を無効にして再び有効にしても、課金とプレビューの設定は保持される。管理者は機能を一時停止して再利用する際も、既存の設定を引き継げる。

管理者は作成主体と根拠の出典を確認し、設定を自動化の仕組みで扱いやすくなった。その一方で、連携する管理範囲に合った認証手段と権限を選び、自動レビューの対象と組織が負担するレビュー費用を併せて点検する運用作業が残る。

Copilotコードレビューの自動化範囲は広がり、運用者は役割ごとの設定権限とレビュー費用を併せて管理する必要がある。