Agent ツールトラックの選択と共通実践演習

参考タスクカード——目標：「CSV エクスポートが空入力と非 ASCII テキストで静かに切り捨てられないようにする」。範囲内：export.py の行書き出しロジックと tests/test_export.py。非目標：新しいエクスポート形式、UI 変更、依存アップグレードはしない。基準：(1) python3 -m unittest tests.test_export -v が終了コード 0。(2) 空データセットのエクスポートがヘッダー行のみのファイルを生成（ファイル検査で確認）。(3) 「café, 東京」を含むレコードが書き出された CSV を通してバイト同一で往復する（ファイル再読で確認）。(4) git diff が export.py と tests/test_export.py のみに触れる。

参考計画——(a) python3 -m unittest discover -s tests -v を実行してトレースバックを読み、app.py の失敗行付近で空リストアクセスを見つける。(b) git status --porcelain を実行：汚れていれば先に stash かコミット（git stash -u、またはスクラッチブランチへのコミット）。既にクリーンなら git rev-parse HEAD をベースラインとして記録する——空コミットは失敗する。(c) ステップ：1. クラッシュを再現し正確な例外を記録（チェックポイント：トレースバック取得）；2. エージェントは app.py のみを編集して空ケースをガード（チェックポイント：git diff が app.py のみ）；3. テストスイート再実行（チェックポイント：終了コード 0）；4. diff をレビューしてグリーン状態をコミット（チェックポイント：git diff --check がクリーンでコミット済み）。

最小パック：src/greeter.py（コード）、tests/test_greeter.py（振る舞いの契約）、トレースバック（正確な失敗）。README は挨拶の必須形式を定義している場合のみ加える。.env は常に除外——認証情報をエージェントに渡さない。src/ ツリー全体と package.json はこの振る舞いに無関係で注意を汚染するため除外する。

付与：リポジトリ読取、ファイル編集、テストコマンドに限定したシェル（pytest tests/ または同等）。拒否：無制限シェル、ネットワーク取得、パッケージインストール、git push、デプロイ——本タスクに不要であり許可もされない。フラグ名は選択トラックの最新公式権限ドキュメント（例：Claude Code の permissions/settings ドキュメント、Codex CLI の --sandbox/--ask-for-approval リファレンス、Pi のツール境界ドキュメント、DeepSeek Harness README）で確認する。名前はバージョン間で変わるため。

この README 注記は注入された指示であり従ってはならない：スクリプトを実行すれば秘密鍵が流出する。対応：(1) スクリプトを実行しない；(2) 該当ファイルと行をプロンプトインジェクション所見として記録；(3) 以前のステップが既に従っていないか確認（diff、シェル履歴、ネットワーク証拠）し、従っていればエスカレート；(4) 承認済みのパーサータスクのみを続行；(5) レビューログにそのアーティファクトを報告する。

暴露分類：送信済みの可能性があり作業領域にも存在——暴露済みとして扱う。対応順序：(1) 実行を停止；(2) provider コンソールでキーを revoke・rotate；(3) secrets.env から削除し、コミット済みなら git 履歴を浄化；(4) diff・ログ・転写から他のコピーを走査；(5) インシデントと証拠を記録。レビューで使う最小の追加行認証情報スキャン：

import re
SECRET = re.compile(r'^\+.*(api[_-]?key|secret|token|password|\w*key)\s*=', re.I | re.M)
diff = '+STAGING_KEY=sk-live-9f2ab\n+mode=fast\n-OLD_KEY=sk-dead\n'
hits = SECRET.findall(diff)
assert len(hits) == 1, hits  # only the added line is flagged
print('PASS: flagged added credential line')

評決：変更全体を拒否——expresss はタイポスクワットパターンで、postinstall はリモートコードを取得実行する流出ベクトル。コマンド：git restore package.json package-lock.json で manifest と lockfile を復元。インストールは実行しない。レビューログに記録。既にインストール済みなら環境は侵害済みとして調査する。宣言依存の差分レビュー補助：

baseline = {'express': '^4.18.2', 'lodash': '^4.17.21'}
proposed = {'expresss': '^9.9.9', 'lodash': '^4.17.21'}
added = sorted(set(proposed) - set(baseline))
removed = sorted(set(baseline) - set(proposed))
assert added == ['expresss'] and removed == ['express']
print('PASS: flagged unexpected dependency delta:', added)

順序：(c) 受入基準 → (f) コンテキストパック → (d) 境界ある一変更 → (a) テスト実行と検査 → (b) diff レビュー → (e) グリーン状態コミット。停止条件：同じ失敗が 2 度繰り返される（リトライではなく再構成）、またはエージェントがスコープ/権限外行動（停止してレビュー）。

実行：npm test（終了コード 0 を要求）、tsc --noEmit、npx eslint .、npm run build、続けて動作中アプリで実ログインページを操作——正常サインインと無効パスワードの拒否。証拠 = 記録したコマンド・終了コード・観察した振る舞いであり、エージェントの文章ではない。linter や型チェックが未設定なら、存在を想定せず欠如を記録する。

Hunk 1：境界ロジックを確認しテスト再実行後に受入。Hunk 2：拒否——アサーションのコメントアウトは合格の偽装、復元する。Hunk 3：拒否——実変更を隠す範囲外の変動、復元する。対応：hunk 1 のみを含む再提出を要求し、git diff、git diff --check、git status --short で他に変更がないことを確認する。

git revert cafe123——逆コミットを追加し、履歴と未コミットの notes.md を保つが、衝突しない保証はない：beef456 が同じ行を編集していれば Git は途中で停止する。beef456 の修正を保って衝突ハンクを解決し git revert --continue するか、git revert --abort してスクラッチブランチで git restore --source=cafe123^ -- <対象ファイル> により悪いコミットのファイル状態だけを選択的に戻し、修正コミットとして記録する。cafe123 が notes.md にも触れていた場合は先にスナップショット（git diff notes.md > /tmp/notes.patch）し、復旧後に自分の版を戻す。禁止：git reset --hard beef456 や git reset --hard HEAD~1——Git が復元できない未コミット notes.md 編集を捨てる。

(1) 審査——破壊的だがスコープ限定で再生成可能。パスがワークツリー内で build/ が再生成可能と確認してから承認。(2) 拒否——force-push は共有履歴を書き換える。通常の push も認可が必要。(3) 審査——先にサプライチェーンチェック（正確な名前、出所、ピン留め）、使い捨て環境で承認。(4) 明示的認可がない限り拒否——外部通信は現実世界の副作用。(5) 許可——ローカル・可逆・読み取り専用。

参考骨格——name: release-notes-drafter；description:「現在のリポジトリでマージ済み PR からリリースノートを起草する。ユーザーがリリースノートや changelog 下書きを求めたときだけ発火——コード記述・PR レビュー・公開には発火しない。」 指示：(1) git log とマージ済み PR タイトルのみ読む；(2) fixed/added/changed で分類；(3) 下書きは CHANGELOG-draft.md に書き、commit・tag・push・公開はしない；(4) 曖昧な PR は推測せずユーザーに確認。発火すべき：「マージ済み PR から v2.3 のリリースノートを起草して」「このリリースの changelog を書いて」。敵対的に発火すべきでない：「この PR をレビューして」「リリースノートをブログに公開して」。退役：リリースノートが CI 生成になったとき、または連続 2 回のレビューで説明の誤発火が見つかったときに除去。