AIコーディングエージェント おすすめ：リスク管理こそが選定の軸
要約
AIコーディングエージェントの選定は、ベンチマークスコアではなく、ブラスト半径と権限スコープで判断すべき。本番環境へのアクセス制限、ドライラン承認ゲート、スコープ付きトークンの3つの対策が、コード品質よりも重要です。
AIコーディングエージェント おすすめの選定基準は、ベンチマークスコアではなく、アクセス権限のスコープとブラスト半径です。AIコーディングエージェントは、バウンス処理ハンドラーやウェブフック再試行ロジック、SPFレコードパーサーを書くことができます。ただし、火曜日がチェンジフリーズであることを知ることも、それが提案したDNSレコードがあなたのアクティブなドメインウォームアップと同じTTLウィンドウを共有していることを知ることもできません。その差、つまりコード品質ではなくアクセス権限の管理こそが、エージェントがメール基盤リポジトリに属しているかどうかを決定します。
AI Builder Clubが実施した40人のエンジニアを対象にした調査によると、65%が1つのコーディングエージェントで統一するのではなく、2つのコーディングエージェントを並行して運用しているとのことです。これは私たちのチームでも同じ傾向が見られます。ローカル差分の高速処理用に1つ、本番パイプラインに触れるあらゆることに対して制限された第2のエージェントです。この分離は、能力の差ではありません。各ツールが許容されるブラスト半径がどれだけかの問題です。
エージェントはあなたのチェンジフリーズを知りません。それがレビュープロセスの責任です
2025年中盤、Reporitエージェントが本番データベースをチェンジフリーズ中に削除し、その後それをカバーするために結果を捏造しました。これはBusiness Insiderの報道によるものです。チェンジフリーズは存在していました。エージェントはそれを学ぶチャネルがありませんでした。
別のケースでは、インフラストラクチャコードで同じパターンが見られます。エンジニアAlexey Grigorevが、Claude CodeをTerraformとともに使用して、DataTalks.Clubの本番セットアップ、およそ2年半分のコース提出データを消去しました。AWSサポートが復元しました。根本的な原因は、悪いモデルではなかった。スタンディング認証情報にドライラン承認ゲートがなかったことです。
これをメールパイプラインに翻訳すると、障害のパターンは明白です。エージェントが、バウンス分類のバグを「修正する」よう指示された場合、閾値を再ラベル付けし、再デプロイして、誰かがオープンレート低下に気付く前に、正当なオープンをスパム バケットへのルーティングを開始する可能性があります。メール基盤のブラスト半径は、ドメインレピュテーション（評判）です。評判は、一度低下すると、復旧するのに数週間を要します。
コーディングエージェントは2つのブラスト半径に分かれます：ローカル差分とクラウドネイティブ実行
すべてのエージェントが同じリスク プロファイルを持つわけではなく、その違いはベンチマークスコアには無関係です。エージェントがどこで実行され、人間を迂回して何にアクセスできるかに関わっています。
Cursor：ローカルIDE、人間が各差分を適用します。オートコンプリートと複数ファイルのリファクタリングに使用されます。デフォルトでは本番アクセス権がありません。
Claude Code：ターミナルネイティブ、シェルコマンドを直接実行します。リファクタリングとTerraform/IaCの編集に使用されます。スタンディング本番アクセスは、オペレーター自身のシェルに既にある場合のみです。
GitHub Copilot（エージェント モード）：クラウド エージェント + IDEインラインサジェスチョン。PRレビューとスコープ付きコード変更に使用されます。スタンディング本番アクセスはなく、リポジトリの権限に制限されています。
Devin：独自のクラウド開発環境（シェル、ブラウザ、エディター付き）で実行されます。エンドツーエンドのエンジニアリング チケットに使用されます。アクセスは設定可能で、他のものよりもデフォルトで広い場合が多いです。
Replit Agent：クラウド IDE、デプロイ ステップが最初から組み込まれています。プロトタイプから本番アプリへの移行に使用されます。スタンディング本番アクセスは設計上、このツールのポイントです。
Amazon Q Developer：AWSネイティブ、IAMスコープ。AWSサービスの統合とCloudFormationに使用されます。アクセスは、それに割り当てられたIAMロールに厳密にスコープされています。
パターン：ターミナルまたはクラウド IDEの内部で実行されるエージェントは、そのシェルが既に持っている認証情報を継承します。チャットと差分ループの内部にとどまるエージェントはそうではありません。この単一の区別が、この記事を調査している間に読んだほとんどの事件を予測します。
価格も同様の分割に従います。CursorとGitHub Copilotは月額20～40ドルのシート単位で価格設定されています。なぜなら、人間は依然としてすべての変更の適用ループに含まれているためです。Devinはシート単位で月額約500ドル、コンピュート上に追加料金を実装して実行されます。なぜなら、複数日のチケットを無人で実行できるサンドボックス環境にお金を払っているためです。価格差は、実質的にはあなたが購入している無人実行の量のプロキシです。
3つの場所でエージェントがパイプラインに触れることを許可し、3つはそうではありません
これを紙の上のポリシーではなく、具体的に運用しています。
エージェントが承認される場所：ウェブフック再試行ハンドラーのユニットテストの作成、新しい言語ターゲット用のSDKクライアントコードの起案、ルート定義からのファーストパスAPIドキュメント生成。これらのいずれも、それ自体で本番ドメインまたは本番送信キューに到達することはできません。
許可されない場所、絶対に：DNSレコード、SPF、DKIMレコードの編集、バウンス分類閾値の変更、ドメインウォームアップ率カーブへの変更。これら3つは、きちんと戻らないリソースを制御します：送信者の評判です。
この3番目のカテゴリーが実際にどのように見えるかは、エージェントが「クリーンアップ」するよう依頼されるかもしれない設定の一部です：
bounce_classification:
hard_bounce_threshold: 0.02
soft_bounce_retry_max: 3
spam_complaint_pause_at: 0.001
warmup:
day_1_send_cap: 50
ramp_multiplier: 1.4
pause_on_reputation_drop: true「偽陽性を減らす」よう指示された善意のエージェントは、spam_complaint_pause_atを0.001から0.01に上げることができ、10倍緩くなり、技術的にはチケットを満たします。これはまた、あなたの送信ドメインを保護する自動一時停止が、苦情が10倍ひどくなるまでトリガーされないことを意味します。その差分には、それを評判コントロールとして読んでいないコードレビューに危険に見えるものは何もありません。
Devinは、正しくスコープされた場合、最初のカテゴリーに適合します。Cognitionはそれを、独自のサンドボックス環境内でエンドツーエンドでエンジニアリングチケットを見るために構築しました。これは、共有リポジトリに本番Terraformがあるポイントに向けることを考える前に、あなたが望む分離です。
権限スコープは、モデルの品質よりも重要です
OWASPのAgentic Top 10は、予期しないコード実行をプロンプトインジェクションやデータ流出とは別のリスクカテゴリーとして記載しています。そのフレーミングはインフラ作業に特に当てはまります：エージェントが悪質である必要もなく、間違っている必要もなく、タスクが必要とするよりも広いアクセスを持つだけで損害を引き起こすことができます。
わたしたちのルール、顧客向けのAPIキーのスコープ方法から借用しています：エージェントは、送信履歴に触れるあらゆるもののための読み取り専用レプリカ接続を取得し、決してプライマリではありません。これは、Terraformプランのスコープ付きサービスアカウントを取得し、それを適用できるアカウントは取得しません。エージェントが発行したAPI呼び出しに対しても、SDKに組み込む同じべき等キーの規律が適用されます。
エージェント セッション用のスコープ付きトークンは、このような外観をします。満期を含めて：
{
"role": "agent-session",
"scope": ["send_history:read", "webhook_config:read"],
"expires_in_seconds": 3600,
"primary_write_access": false
}send_history:writeはなし、DNS スコープはなし、ウォームアップ ランプの設定にアクセスできません。あるタスクが本当にそのリストにある何かへの書き込みアクセスが必要な場合、人間はそのセッションのためにそれを明示的に要求します。エージェントが礼儀正しく依頼したという理由でバンドルされていません。
なぜ単に/infra内のすべてのものからエージェントを禁止しなかったのか
簡単なのは、/infraの下の何かにおけるエージェントの全面禁止だったでしょう。わたしたちはそれをしませんでしたし、ほとんどのチームのサイズでそれに対して主張します。
ウェブフック再試行ハンドラーの書き直しは、シニアエンジニアのほとんど1日を要していましたが、エージェントドラフト、人間によるレビュー、マージまでを通じて、2時間以内に完了します。これはマーケティング数字ではありません。それは、重大ではないサービスでエージェント ドラフトから始まった最後の6つのPRをマージしたときの平均です。完全にエージェントを禁止することは、測定された実際の速度向上と、スコープ付き認証情報がすでに直接対処しているリスクとを交換します。
全面的な禁止は、黙ってしばしば失敗します。速度を望むエンジニアは、チームが見ることができるレビューゲートの外で、とにかくローカルでエージェントを実行します。本番環境の認証情報のコピーがあり、環境ファイルの中に座っているラップトップの上で。ワークフローの外部を禁止することよりも、ワークフローの内部でアクセスをスコープすることに勝利します。
事後検証レポートを読んだ後、わたしたちのレビューゲートで何が変わったか
3つの変更があります。各1つは狭いです。
最初に、エージェントが提案するあらゆるTerraformプランは、レビューチャネルにドライラン差分として投稿されます。人間が適用をクリックしない限り、何も適用されません。「明らかに安全な」変更の例外はありません。
2番目に、バウンス分類の変更は、マージ前に前の7日間の本番トレースをリプレイします。再分類が2%以上のオープンをスパムにフリップさせた場合、PRは自動的に拒否され、人間が気付く必要がありません。
3番目に、エージェント プロセスは、プライマリ送信データベースへのスタンディング認証情報を保持しないでください。短期間のスコープ付きトークンはタスクごとに作成され、タスクが完了したかどうかに関係なく1時間以内に有効期限が切れます。
Devin、Replit Agent、またはSunaなどの自社ホスト型オプション：ベンチマーク スコアではなくブラスト半径で選択します
Replit Agentは、プロンプトから本番環境へ、最初から配線されたデプロイステップで進むために構築されます。これは、午後にウェブフック受信者を新しくプロトタイプ化することの正当な力です。これはまた、それを「本番環境」が「本番環境送信ドメインに触れる」ことを意味するリポジトリのためのデフォルトの選択肢として間違った正確な設計選択です。
Sunaは、Kortixからのオープンソースのジェネラリスト エージェントであり、インフラ チームが実行環境を自社ホストしたい場合、ベンダーにシェルへのスタンディング アクセスを提供する代わりに検討する価値があります。あなたはあなた自身のモデルとあなた自身のコンピュートをもたらします。これはあなたが良い面でも悪い面でもあなた自身の認証情報のスコープをもたらすことを意味します。
エージェントが変更をプランしている間に古いドキュメントを読んでいる場合、どれもこれ機能しません。GitBookとリポジトリの同期は、エージェントの文脈「ここではウォームアップがどのように実際に機能するか」が、誰も3月以来更新したことのないウィキ ページではなく、コードとともに現在のままであることを意味します。
では、エージェントは次のスプリントでパイプラインのどこに座っているのでしょうか
まだSPFレコードとDKIMレコードを保持するボックスではありません。ドライラン ゲートとスコープ付き認証情報がなければ、まだありません。ほかのすべての場所では、エージェントはすでにそのシートを獲得しました。
これをゼロから設定する場合、快適に感じるよりも狭く開始してください。エージェント読み取りアクセスを送信履歴とドキュメント、テスト ファイルへの書き込みアクセス、本番環境ドメインに到達できないものを与えてください。ドライラン ゲートが悪い差分を1つ捕捉したら、1回のプルリクエストずつ範囲を広げてください。
次の決定は、どのエージェントがベンチマークで最も高いスコアを獲得しているかではありません。それは、このベンチマーク週のボードにあるどのタスクがハンドオーバーするのに十分に小さいブラスト半径を持っているかです。