[uk-ai-resilience] Missing .github/CODEOWNERS for security-sensitive compiler/CLI paths (Tier B)
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 68/100
調査の方向性
.github/CODEOWNERSを作成し、現在は所有権ファイルが存在しないため、まずリポジトリのメンテナーまたはチームの慣例を確認してください。pkg/workflow/、pkg/cli/、.github/workflows/*.mdのソース、およびDockerfileを、責任を持つメンテナーまたはチームでカバーしてください。これらのパスに、文書化された冗長なレビュー体制があることを完了条件とします。
索引モデルが issue の本文から書いたものです。
説明
Summary
UK AI Open Code Risk & Resilience Governance sweep (2026-09-17, 7-day lookback) found that github/gh-aw has no .github/CODEOWNERS file, despite ~95% of recent commit volume (162 commits in the 7-day window) being authored by automation (Copilot bot: 101, github-actions[bot]: 38, dependabot[bot]: 15) touching security-sensitive surfaces such as the Go workflow compiler (pkg/workflow/), CLI package-manifest tooling (pkg/cli/), and generated GitHub Actions workflows.
Tier and risk-scoring breakdown
- Tier: B — Open With Conditions
- Exposure amplification: 2/5
- Patchability: 5/5 (trivial to add a CODEOWNERS file)
- Detectability: 2/5 (not surfaced by code scanning; found via governance review)
- Operational fragility: 2/5
- Ownership confidence: 2/5
Evidence
- All 162 commits in the lookback window are GPG-verified, and Copilot-authored PRs carry human
Co-authored-bytrailers (predominantlypelikhan), providing an informal review control. - However, there is no formal, enforceable per-path ownership mapping (
.github/CODEOWNERSdoes not exist), so review coverage currently depends on one individual's availability rather than a documented, redundant ownership model. - This is a governance/process gap rather than a code vulnerability — no immediate exploit path, but it weakens resilience if the primary reviewer is unavailable.
Remediation action
Add a .github/CODEOWNERS file mapping high-risk paths (pkg/workflow/, pkg/cli/, .github/workflows/*.md sources, Dockerfile) to accountable maintainers/teams, ensuring redundant review coverage for security-sensitive compiler and CLI code.
SLA urgency
Medium — low technical complexity, meaningful improvement to review-redundancy and bus-factor resilience.
Discussion report
See the full "UK AI Open Code Risk & Resilience Governance — Weekly Review (2026-09-17)" discussion for full asset graph, control verification, and risk-scoring detail.
Generated by UK AI Operational Resilience · copilot · auto · 83.3 AIC · ⌖ 12.5 AIC · ⊞ 8.3K · ◷
- 主要言語
- Go
- スター
- 5.4k
- フォーク
- 584
- 平均マージ
- 3時間 16分
- マージ済み PR（30日）
- 826
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
github/gh-aw のほかの issue
-
agent-research
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信
-
cookie sergo
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
ai-inspected
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
goroutineresourceleak (81st linter): paren_unwrap_gap across lock/cancel/channel detection, day oneオープンcookie sergo
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/gh-aw#68591 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
automation models
難易度 1/5 1時間未満 初心者へのやさしさ 1/100
メンテナーはふだん 1 日以内に返信
似ている issue
-
documentation priority:p1
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
yeixio/toskar-core#697 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
keyxmakerx/Chronicle#1532 ·
メンテナーはふだん 1 日以内に返信
-
The acquisition fixture's search path skips the argument table production enforces (regression from #285)対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
Judgment-Pack/judgment-pack-gateway#293 ·
メンテナーはふだん 1 日以内に返信
-
bug desktop v3 windows
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
esengine/DeepSeek-Reasonix#13697 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
good first issue help wanted
難易度 1/5 1時間未満 初心者へのやさしさ 95/100
eugenioenko/ttt#959 ·
メンテナーはふだん 1 日以内に返信