ムラサキ

コードレビューは「念のため通す」感覚でLLMに任せていたが、手法によって検出率が倍以上違うとは思っていなかった。

なぜLLMコードレビューのセカンドオピニオンが必要か

「通った」と「正しい」は別の話

自分でコードを書いて自分でレビューする個人開発・副業開発では、認知バイアスが避けられない。書いた本人はコードの意図を知っているため、実装のミスより「動くはずだ」という確信が先に来る。

LLMにセカンドオピニオンを求める意義はここにある。コードの意図を知らない第三者として差分を読む。ただし「LLMに投げた」だけでは安心できない。どのツールをどの条件で使うかで、検出できるバグの種類と精度が大きく変わる。

副業・個人開発でのリスク

副業でサービスを運用している場合、バグの影響は直接収益・信用に直結する。SQLインジェクション1本でユーザーデータが流出すれば、個人サービスとして終わりに近い。ロジックバグで二重投稿が発生すれば、SNS連携を使ったシステムが誤動作し続ける。

Claude Codeを使った個人サービス開発の正直な話でも触れたが、実装速度が上がるほどレビューの抜け漏れリスクも比例して増える。

ベンチマーク設計 — 実バグ6本・4手法の条件

バグの仕込み方

実際に過去に発生した、または発生しうるバグを6本選定し、「正常な修正後コード」をmainブランチ、「バグを再導入したコード」をfeatureブランチとして、正規のPR形式で差分を作成した。PR titleとdescriptionは「意図的に無害に見える説明」を付けた。

4手法の評価条件

各手法はそれぞれのPRのみを閲覧できる制限下で実施した。ground-truth（バグの正解）にアクセスできる情報は一切渡さない。

• Claude Code code-reviewer: git worktreeに閲覧範囲を限定したsubagentで実行
• CodeRabbit Pro Plus: @coderabbitai review でPRに対してトリガー
• Codex CLI GPT-5.5: 各worktreeでCLIインタラクティブモードで実行
• /security-review: 同じworktreeで /security-review スラッシュコマンド

4手法の結果比較

全体スコア

Claude Code code-reviewer の特徴

最も検出率が高く、偽陽性はゼロだった。gitignoreの「親ディレクトリ除外時に子を再includeできない」という仕様詳細（Bug3）を正確に引用して指摘できた点は他手法にはない強みだ。

Bug4ではground-truthの4観点に加え、(process.env.SMTP_PORT || '587') === '465' という文字列比較バグ（数値と文字列の型不一致）をボーナス検出した。

弱点はPR descriptionとdiffの論理整合性を重視する点。Bug2のように「PR説明が正しい場合に、それ以上の情報なしには判断できないバグ」はAPPROVEになった。

Codex CLI GPT-5.5 の特徴

ロジック・セキュリティ・リファクタの全カテゴリで安定した検出を見せた。Bug6ではmodels/user.jsを実際に読み込み、「db.prepare()が内部でキャッシュしているため、raw SQL化によるパフォーマンス改善の主張が成り立たない」と技術的矛盾を指摘した。

Claudeと同様にBug2は見逃した。Bug3は本質をカバーしたが1点未検出（3/4）。Bug5は判定不能と不適性の区別に触れたが、silent failure観点の指摘がCodeRabbitと差があった（3.5/4）。

コストは従量制。Bug1〜6の5PR相当で約$3.10の消費（Bug1を2回実行したため）。1PRあたり$0.5〜0.8程度。

CodeRabbit Pro Plus の特徴

セキュリティバグ（Bug6）では4つのCritical指摘を出した。requireAdmin削除・SQLi×3を endpoint 別に分離して指摘する細かさはむしろ他手法より詳細だった。

一方、Bug3（.remotionignore仕様）とBug2（null白画面）は完全スルー。Bug4はground-truth外の観点（attachmentのBase64バリデーション、extrasオーバーライド）を指摘した。これはground-truthでは0点扱いだが、別の品質問題を発見しており補完的な価値はある。

/security-review の特徴

Bug6（セキュリティ3重）に対して7つのHigh脆弱性を検出した。各脆弱性に exploit scenario が付属し、「GET /admin/users/search?q=%25'%20UNION%20SELECT%20...でpassword_hashを全件奪取できる」という具体的な攻撃経路まで記述する。

ムラサキ

exploitシナリオ付きのレビューを見たのは初めてだった。pentest報告書に近い水準で、これは他手法では出てこない。

Bug1〜5（非セキュリティ）に対しては全て「脆弱性なし」と正確に判定した。偽陽性はゼロ。Bug4では添付ファイル検証の問題をconfidence 7/10で近似検出したが、しきい値8未満としてレポートから除外する設計になっている。Bug5では「fail-closed化はセキュリティ的には改善」と観察まで付けた。

全手法が見逃したバグ — Bug2が示す「LLMの壁」

Bug2のPRは以下の差分だった。

// 変更前
if (isMaintenance === null) return <MaintenanceSplash />;

// 変更後（バグ）
if (isMaintenance === null) return null;

PR title は fix(preview): メンテ確認中の flash of content を防止。PR description は「null返却でコンテンツを非表示にし、確認中に本文がチラ見えする問題を修正」と記述されていた。

この差分だけを見れば「null返却でコンテンツを非表示にする」という説明とコードは論理的に一致する。実際の問題は「変更前が白ページ防止のための修正であり、変更後がそれを打ち消している」という点だが、それを知るにはgit blameと元のissueを読む必要がある。

全4手法がAPPROVEまたは「No actionable comments」を返した。LLMがPR単体で読める情報には構造的な限界がある。

月コストと推奨スタック

コスト比較

3つの推奨スタック

パターンA: Claude Code Maxプランのみ（月$100）

• code-reviewer: PR全件
• /security-review: セキュリティ変更を含むPRのみ追加実行
• 検出率: 94%（非セキュリティ）＋ 専門セキュリティ
• 適合: 副業・個人開発でコストを抑えたい場合

パターンB: A + CodeRabbit Free（追加コスト$0）

• code-reviewerでの自動レビュー ＋ CodeRabbitの自動トリガー
• Bug4のような「観点の違う指摘」が追加される
• 適合: CI/CDにコードレビューを組み込みたい場合

パターンC: A + Codex CLI（月~$6追加）

• 重要PR・レビューを念入りにしたいPRのみCodexでダブルチェック
• Bug3のような「2手法が独立して同じバグを検出した」ケースで信頼度が上がる
• 適合: ロジック系バグが多い開発フェーズ

Claude Codeのコストを50〜75%削減する3層スタック実践と組み合わせると、MaxプランをClaude Code全体の開発コストとして最適化しながらレビューも回せる。

コードレビュー以外も含めた組織全体のAI導入を考えるなら、ChatGPT・Claude・Geminiの開発業務向けプラン選定ガイドで3社のエンタープライズ構造を9軸で比較している。

よくある質問

まとめ

実バグ6本・4手法のベンチマークで明らかになったことを3点に絞る。

1. Claude Code 内蔵 code-reviewer が検出率94%で最強。gitignore仕様など深い技術知識が必要な仕様系バグ（Bug3）を偽陽性ゼロで検出できる。Maxプランなら追加コストなし。
2. /security-review はセキュリティ変更のある PRに必ず追加実行する価値がある。exploit scenarioと7分離された脆弱性報告はpentest相当の精度で、code-reviewerの検出内容と補完関係になる。
3. 「PR description + diff の整合性チェック」だけでは検出できないバグがある。Bug2のように元の設計意図の反転であるケースは、全LLMツールで見逃す構造的な限界がある。ツールへの過信ではなく、PRの書き方の改善（根本原因の明記）で対処する。

月$100のClaudeMaxプランに code-reviewer と /security-review を組み込めば、追加費用ゼロで実測94%＋セキュリティ専門レビューが完結する。外部LLM（Codex）は重要なPRのみに絞って使うのがコスパの良い選択肢だ。

ムラサキ

SE歴20年 · 金融系システム開発課長 · 週末起業1年目

システムエンジニア歴20年。金融系システム開発の課長として勤務する傍ら、AIと副業の最前線を実践レポート。Claude Code Max 5xプランを日常業務・副業開発に活用中。一次情報と実測値にこだわった記事を発信。

20 YRS SE

4 MOS 副業

38 ARTICLES