‏RepoPilot: اسکنر ریسک مخازن کد برای توسعه‌دهندگان و دستیارهای هوش مصنوعی

RepoPilot یه ابزار local-first برای بررسی ریسک مخازن کده که قبل از pull request، ریلیز، یا شروع یه session با دستیار هوش مصنوعی (AI coding assistant) بهت یه «چک امنیتی سریع» می‌ده. برخلاف linterهای معمولی که فقط یه فایل رو می‌بینن، RepoPilot کل مخزن رو با هم بررسی می‌کنه تا سیگنال‌هایی مثل drift در معماری، فایل‌های پرریسک، وابستگی‌های دایره‌ای، و شکاف‌های تست رو شناسایی کنه.

یه نکته‌ی مهم اینه که RepoPilot هیچ کدی رو آپلود نمی‌کنه و هیچ API هوش مصنوعی‌ای رو صدا نمی‌زنه. به جاش، یه خروجی Markdown محلی می‌سازه که خودت تصمیم می‌گیری کجا paste‌اش کنی. ابزار از طریق Cargo، npm، یا Homebrew نصب می‌شه.

یکی از مفیدترین ویژگی‌ها Trust Mode یا «حالت اعتماد» هست. در حالت پیش‌فرض، فقط مشکلات واقعاً مهم (ریسک امنیتی، runtime، و معماری) نمایش داده می‌شن و صدها پیشنهاد کم‌اهمیت پنهان می‌مونن. اگه بخوای همه چیز رو ببینی، می‌تونی با --profile strict حالت کامل رو فعال کنی.

سیستم Baseline هم برای تیم‌هایی که بدهی فنی انباشته دارن خیلی کاربردیه. یه بار وضعیت فعلی رو به‌عنوان baseline ذخیره می‌کنی، بعد CI فقط روی یافته‌های جدید با شدت بالا fail می‌کنه. این یعنی می‌شه بدون block کردن همه‌چیز، از بدتر شدن اوضاع جلوگیری کرد.

برای جریان کار با هوش مصنوعی، RepoPilot دستوراتی مثل repopilot ai context و repopilot ai plan داره که context متمرکز و آماده‌ای می‌سازن که می‌شه مستقیماً توی Claude Code، ChatGPT، یا Cursor paste کرد. خروجی قابل تنظیم با --budget هست تا توی محدودیت توکن بمونه.

نکات کلیدی:

• کاملاً محلی کار می‌کنه؛ بدون تله‌متری، بدون آپلود کد، بدون API هوش مصنوعی
• Trust Mode در حالت پیش‌فرض فقط یافته‌های مهم رو نشون می‌ده و نویز کم می‌کنه
• سیستم Baseline اجازه می‌ده CI فقط روی مشکلات جدید fail کنه
• خروجی به فرمت‌های console، JSON، Markdown، HTML، و SARIF پشتیبانی می‌کنه
• قواعد بررسی شامل: secret های hardcode‌شده، کلیدهای خصوصی، وابستگی‌های دایره‌ای، پوشش تست، و ریسک‌های فریم‌ورک‌هایی مثل React، Django و Rust می‌شه