Hands-on 11 — IA no CI/CD

Por que começar pela revisão de código?

• Revisores são escassos e o tempo de retorno é longo.
• Muitos problemas são mecânicos: null checks ausentes, segredos fixos no código, violações de convenções REST.
• Um modelo os detecta antes da chegada do revisor humano — que pode focar no design.

O objetivo e o fluxo

Quando um desenvolvedor abre um PR, um job do GitHub Actions envia o diff à API do Claude e publica uma revisão estruturada como comentário no PR.

1. O desenvolvedor faz push e abre um PR.
2. O GitHub dispara o workflow em pull_request (opened, synchronize).
3. O job busca o diff: GET /repos/.../pulls/{pr}/files.
4. Ele chama o Claude (claude-sonnet-4-6) com o diff e um system prompt.
5. Ele publica a revisão como comentário no PR.

Passo 1 — O secret da chave de API

Repositório → Settings → Secrets and variables → Actions → New repository secret

• Nome: ANTHROPIC_API_KEY
• Valor: sua chave obtida em console.anthropic.com
• O runner a injeta como variável de ambiente em tempo de execução.
• O GITHUB_TOKEN é automático — criado a cada execução, com escopo definido pelas permissions do workflow.

Passo 2 — Workflow: gatilho e permissões

.github/workflows/ai-review.yml

name: AI Code Review

on:
  pull_request:
    types: [opened, synchronize]

permissions:
  pull-requests: write   # post the comment
  contents: read

pull-requests: write é o que permite ao GITHUB_TOKEN comentar no PR.

Passo 2 — Workflow: o job

jobs:
  ai-review:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4         # fetch-depth: 0
      - uses: actions/setup-python@v5     # python-version: "3.12"
      - run: pip install anthropic PyGithub
      - name: Run AI review
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          PR_NUMBER: ${{ github.event.pull_request.number }}
          REPO: ${{ github.repository }}
        run: python .github/scripts/ai_review.py

Passo 3 — O system prompt

O system prompt em .github/scripts/ai_review.py é o principal ponto de controle da qualidade da revisão.

Passo 3 — Diff entra, comentário sai

diff = get_pr_diff(repo, pr_number)   # concatenates f.patch, stops after 3000 lines

client = anthropic.Anthropic()        # reads ANTHROPIC_API_KEY
message = client.messages.create(
    model="claude-sonnet-4-6",
    max_tokens=1024,
    system=SYSTEM_PROMPT,
    messages=[{"role": "user",
               "content": f"Please review this pull request diff:\n\n{diff}"}],
)
post_review_comment(repo, pr_number, message.content[0].text)

post_review_comment chama o pr.create_issue_comment(...) do PyGithub com um cabeçalho "🤖 AI Code Review".

Decisões de design

Passo 4 — Teste com um problema proposital

git checkout -b feature/add-order-endpoint
# make a change with a deliberate issue,
# e.g. hardcode a JWT secret in application.yaml
git add .
git commit -m "add order endpoint"
git push origin feature/add-order-endpoint

• Abra o PR no GitHub → em ~30 s o workflow AI Code Review é disparado.
• A revisão aparece como comentário do bot do Actions.

O que você deve ver

##  AI Code Review

## Summary
This PR adds an order creation endpoint. ... a critical security issue ...

## Issues Found
 Critical — `application.yaml` contains a hardcoded JWT secret
(`jwt.secret: mysecretkey123`). Secrets must be injected via env vars ...
 Suggestion — `POST /orders` returns `200 OK`; resource creation is
`201 Created` with a `Location` header.

## What looks good
Input validation via `@Valid` is correctly applied to the request body.

Estendendo o revisor

Extensão	Como
Revisar só código	filtro paths: — **/*.java, **/*.yaml, **/*.yml, **/pom.xml, **/Dockerfile
Resumo na descrição do PR	repo.get_pull(pr_number).edit(body=summary)
Saída estruturada	pedir só JSON: summary, critical_issues, warnings, suggestions, score → renderizar como tabela
Bloquear em Critical	Checks API do GitHub, checks: write, um check run em vez de um comentário
Problemas específicos do código	adicioná-los (Feign clients, anti-padrões de Spring Boot) à lista Focus on:

Um guia, não uma barreira

• Comece apenas com comentários.
• Passe a bloquear só depois que o time validar a precisão do modelo no próprio código.
• Nunca coloque a chave de API em um arquivo versionado.
• Mantenha o diff e a resposta limitados (3 000 linhas, max_tokens) — cada PR é uma chamada de API que custa dinheiro.

A mesma forma, outras tarefas

Gatilho de CI/CD → coletar contexto → chamada ao LLM com prompt da tarefa → agir sobre o resultado

Pontos-chave

1. Revisão de código é um ótimo primeiro uso de IA: revisores escassos, muitos problemas mecânicos.
2. Fluxo: evento pull_request → buscar o diff → API do Claude com um system prompt → comentário no PR.
3. ANTHROPIC_API_KEY fica nos GitHub Secrets; o GITHUB_TOKEN é automático (permissions).
4. O system prompt é o ponto de controle — ajuste a lista Focus on: ao seu código.
5. Limite o custo: trunque o diff (3 000 linhas) e limite max_tokens (1024).
6. Não bloqueante até validar a precisão do modelo — um guia, não uma barreira.
7. Gatilho → contexto → LLM → ação serve também para testes, changelogs, logs e docs.