Можно ли доверять агенту мерж в main без ревью человека

[Kireeich]

Спорный вопрос: стоит ли давать агенту право мержить свои PR в main без живого ревью, если зелёный CI? У нас тимлид предлагает завести бота на Claude Code, который по тикету пилит фичу, гоняет тесты, и если всё зелёное, сам мержит. Я считаю это дичь, потому что зелёные тесты не значат что код нормальный, а агент умеет писать тесты которые ничего не проверяют. Кто как, у кого реально так настроено и не взорвалось?

[allenw]

не давай. Точка. Агент тебе с радостью напишет assertTrue(true) и зелёный CI, а в проде потом ловишь гонку которую никакие юнит-тесты не покрывали

[nissenos]

у нас полгода крутится автомерж агента, но с кучей оговорок. Без них бы давно сгорело. Что есть: 1) мутационное тестирование, infection гоняется на дифф и если killed ratio просел, мерж блок. 2) обязательный security-скан, агенту запрещено трогать файлы с секретами и миграции. 3) лимит на размер диффа, больше 400 строк уходит человеку. 4) на main стоит правило что прод-деплой отдельной кнопкой, мерж в main это ещё не релиз. При таком обвесе агент закрывает рутину типа обновить зависимости, поправить линтер, мелкие багфиксы. Архитектуру и платёжку он не трогает в принципе. Без пунктов 1 и 2 я бы тоже орал что это безумие.

[rust_sre]

агенту запрещено трогать файлы с секретами и миграции

вот это ключевое что все упускают. Не про доверие к коду вопрос, а про blast radius. Дай агенту мержить только туда где цена ошибки низкая и откат мгновенный. Миграции, инфра, биллинг, авторизация это руками всегда. Остальное пусть катит

[svelte42]

серьёзно? вы реально пускаете бота в main? у нас бы безопасники за такое голову оторвали

[andy_yura]

у нас бы безопасники за такое голову оторвали

и правильно бы сделали в твоём случае, судя по тому что ты даже не разделяешь мерж и деплой. У человека выше всё разрулено, у тебя нет, вот тебе и страшно

[elixir1337]

философски: ревью человеком тоже не панацея, половина ребят апрувит не глядя, лишь бы отвязались. Так что зелёный CI агента иногда честнее чем LGTM не читая. Вопрос не доверять или нет, а что у тебя за барьеры стоят