AutofixFence

誰のための案か

GitHub Actions + 自動パッチ / 修正 PR を使う企業のセキュリティ / プラットフォームエンジニア。現状は手動 diff レビュー、actionlint、zizmor、Slack 承認の組み合わせ

どんな困りごとか

時間: CI 侵害事件以降、workflow に触れる PR は全部手でレビュー。法務: SOC2 や変更管理の監査には、その workflow 変更が承認済みで安全だったという署名付き証跡が要る

どう作るか

GitHub App + CLI。組織に入れて .github/workflows 配下の変更に必須ステータスチェックとして走り、注釈付きの指摘を投稿し、署名付き JSON / PDF レシートを発行。ポリシーはリポジトリ内の YAML

どう稼ぐか

セキュリティ / プラットフォームチームが GitHub 組織あたり月 $99〜299 を払う(必須チェック・SSO・保持・署名付き監査エクスポート)。悪意ある workflow 変更の見逃しは侵害や監査不合格に直結し、無料 linter は PR 文脈のポリシーブロックも署名付き変更管理証跡も出さないため

なぜまだ無いのか

既存勢は飛ばす: GitHub と Microsoft は摩擦のない自動修正を望んでおり、独立したブロック付きレシートを既定で出すことはまずない。SAST ベンダーの焦点はアプリコードで、Actions の権限・インジェクション意味論ではない。workflow の diff だけを監査して署名付き監査レシートを出す狭いゲートが個人開発の隙間

最初の利用者

自動修正による CI 侵害の HN スレと GitHub Actions セキュリティコミュニティから。公開リポジトリ向けの無料レシートを楔にする

作る規模

1 person x 10 weeks; includes GitHub App auth, workflow diff parser, 30 rules for dangerous permissions, script injection, and secret exposure, policy YAML, status check, signed receipts; excludes dependency scanning, full SAST, GitLab/Jenkins support, and automatic remediation.

一番のリスク

GitHub がネイティブの署名付き workflow リスクチェックを出すか、自動修正を監査ログ付きサンドボックス実行に限定し、外部ゲートが不要になる

的中の条件(3 つすべて必要)

• .github/workflows/*.yml を変更する PR に対し、HEAD 更新から 180 秒以内に pass / review / block の GitHub ステータスチェックを投稿
• 各チェックのコメントから、リポジトリ・PR 番号・コミット SHA・ルール ID・ポリシーバージョン・タイムスタンプを含む署名付き JSON レシートをダウンロード可能。署名は公開鍵で検証できる
• ポリシー YAML で最低 3 パターンをブロック可能: workflow レベル permissions の write-all、PR head をチェックアウトする pull_request_target トリガー、PR のタイトル・本文・head-ref を未クオートで補間する shell ステップ

的中の判定(6ヶ月後)

公開 GitHub リポジトリ 1,000 スター到達、または Product Hunt デイリー Top 5(判定日 2027-02-18)

AI自己確度 45/100 — 判定条件を満たす見込みの自己申告で、事業の成功率ではありません