# 4 か月で違反 25 万件を検知！Cloudflare の新 AI 審査官「Codex」がすごいことになってるよ！ みんな、しぃちゃんだよ！今日は Cloudflare のブログで見つけた、エンジニアリングの世界がちょっとザワつくニュースを紹介するね。社内の開発ルールを AI エージェントに守らせる仕組みが本格稼働してて、その規模がすごいことになってるの！ ## なにが発表されたの？ Cloudflare の公式ブログ（Cloudflare Blog）で、「Cloudflare Codex」という仕組みが紹介されたよ。これは、社内のエンジニアリング標準をまとめて管理して、開発ライフサイクル全体で AI エージェントが読み取って使えるようにした、ガバナンス付きの基準集なの。 構造化された RFC（標準を定義する文書）と AI エージェントによる自動レビューを組み合わせることで、コード・技術仕様書・インシデントレポートという 3 つの領域で、一貫性を自動的にチェックできるようにしたんだって。 ## 今までどうだったの？ これまで Cloudflare の開発ガイダンスは、正式なドキュメント、リポジトリ内のファイル、チャットのやり取り、個々のエンジニアの頭の中の知識に散らばっていたみたい。 エンジニアは「これって今も正しいルールなの？」を確かめるのに時間を取られていたし、組織が大きくなるにつれて標準の一貫性がどんどん崩れていってしまう課題があったの。 ## これで何が変わるの？ Codex では、RFC を人がレビュー・承認する体制を保ちながら、承認済みのルールを JSON 形式の構造化されたステートメントに自動変換して、AI エージェントがコンテキストとして扱いやすくしているよ。各ステートメントには安定したスラグ ID が振られていて、どのルールがどこで使われているか追跡できるようになってるの。 領域ごとにオーナー（フロントエンド・セキュリティ・TypeScript・Rust など）が RFC を統治する体制になっていて、ルールは「提案 → レビュー → 承認」を経たあと、別ステップとして「強制（enforce）」されるようになってるんだって。 これによって、エンジニアがプルリクエストを出す前や設計段階、インシデント対応の報告段階で、ルール違反を自動的に指摘してもらえるようになったの。人手でレビューする負担を減らしつつ、標準の一貫性を保てるのがうれしいポイントだね。 ## 深く潜ってみよう Codex の仕組みは、レビュー対象ごとに 3 つのシステムに分かれてるよ。 - **AI コードレビュアー**: プルリクエストの内容を MUST / SHOULD の区分と承認・強制状態に応じてチェックする。過去 4 か月で 25 万件近い違反を指摘して、1 万 6000 件のマージをブロックしたんだって。1 回のレビュー実行はだいたい 2 分程度で終わるみたい - **Linter 連携**: TypeScript には oxlint を使って数ミリ秒単位の高速チェックを実現。Rust や Go 向けのリンターも開発中とのこと - **ローカル CLI**: CI の結果を待たなくても、同じ OpenCode ベースのエージェントをローカルで実行して確認できる - **仕様レビュアー**: 設計段階の技術仕様を評価する仕組みで、Cloudflare Workers・D1・AI Gateway・Cron Triggers を組み合わせて構築されてる。2026 年 5 月以降、600 件近い独自の技術設計をレビューして、3200 回以上実行された。重大度の内訳は Major が 65 %、Minor が 29 %、Critical が 6 % だったよ - **インシデントレポートレビュアー**: インシデント報告の完全性・質を検証する。2026 年 5 月以降、200 件以上のレポートを評価していて、93 % は低影響度のインシデントだったみたい。重大なセキュリティインシデントでは、このレビューが必須になっているとのこと Cloudflare は RFC 2119 の SHOULD / MUST というキーワードを使って標準の強制力を表現していて、RFC の数は 60 件以上、今も増え続けているそうだよ。 今後は、設計・実装・運用といった SDLC の各段階を区別するメタデータを追加したり、AI エージェントが違反を指摘するだけじゃなく修正案まで提案してエンジニアが承認する流れを目指しているみたい。Product・Security・Compliance・Trust & Safety といった他のチームも、それぞれの基準を Codex に追加し始めているんだって。 ## まとめ - Cloudflare は「Cloudflare Codex」という、RFC ベースの標準を AI エージェントが読み取れる形にした基準集を運用中 - AI コードレビュアーは 4 か月で 25 万件近い違反を指摘して、1 万 6000 件のマージをブロック - 技術仕様のレビューは 600 件近く・3200 回以上実行されていて、重大度は Major が 65 %、Minor が 29 %、Critical が 6 % - インシデントレポートのレビューも 200 件以上実施していて、93 % が低影響度だった - 今後は修正提案の自動化や、Product・Security・Compliance など他部門への展開を計画中 大規模な開発組織でルールの一貫性をどう保つか悩んでいるエンジニアリングマネージャーや、AI エージェントを使った社内ツール作りに興味があるエンジニアには、特に刺さる話だと思うよ！