Copilot Cloud AgentをCustom Propertiesで制御する, 企業向けポリシールーティング設計

GitHub Changelogで公開された「custom properties経由でCopilot cloud agentを有効化する」流れは、企業運用において重要です。意味は単なる機能追加ではなく、組織ポリシーに応じたAI機能配布を標準手段で実装できる点にあります。

なぜポリシールーティングが必要か

同じ企業でも、プロダクトごとに許容リスクは異なります。決済基盤、社内ツール、検証環境で同一のエージェント権限を与えるべきではありません。custom propertiesを使うと、リポジトリ文脈を明示し、その文脈に応じて許可機能を切り替えられます。

代表的な属性:

• データ機密区分
• 本番影響度
• リージョンや契約上の制約
• チーム成熟度（レビュー体制・監査体制）

実装の基本構成

1. org/repoにcustom propertiesを定義
2. 属性から許可アクションを決めるポリシー層を作る
3. 実行時にモデル・ツール・書き込み可否を強制
4. 監査ログを一元化

重要なのは、同じ属性なら同じ動作になる再現性です。

セキュリティ実装の要点

• 書き込み系はdeny-by-default
• インフラ変更は段階承認
• プロンプト送信前の機密マスキング
• secret scan未通過なら実行不可

導入手順

最初は低リスク作業（テスト計画案、変更要約、リリースノート下書き）に限定し、事故率を見ながら拡張します。

評価指標

• エンジニア時間あたりの完了タスク数
• ポリシー拒否率
• マージ後不具合率
• 失敗実行の復旧時間

まとめ

custom propertiesは「Copilotを使うかどうか」ではなく「どこまで使ってよいか」を運用可能にする仕組みです。全社一括有効化より、属性ベースの段階展開の方が、速度と安全性を両立できます。