api-doctor：AI生成コードのAPI統合エラーを110の決定論的ASTルールで検出

最近、Hacker Newsで注目を集めたオープンソースツール「api-doctor」は、AI生成コードにおけるAPI統合エラーを検出するために設計されました。このツールは、110の決定論的AST（抽象構文木）ルールを使用してコードを静的解析し、エラーの多いAIモデルに依存しません。つまり、同じ入力に対して常に同じ出力を保証するため、開発者は信頼できるコードレビューを得ることができます。

api-doctor は現在、Resend、Supabase、Auth0、Firebase、Lovable、Browserbase、OpenAI Computer Use、TipTap、ElevenLabs、Twilio、OpenAI Realtimeの11の主要なAPIプロバイダーをサポートし、合計110の具体的なルールをカバーしています。これらのルールは4つのカテゴリに分類されます。セキュリティ（CWEおよびOWASPにマッピングされ、ハードコードされたAPIキー、クライアントバンドル内のシークレット、署名検証前に読み取られるWebhookなどを検出）、正確性（誤ったエンドポイントやAPIの使用を検出。例：バッチ送信を介したマーケティングメール、購読解除リンクの欠落、本番環境でのテストドメインの使用）、信頼性（プロバイダーのドキュメントが警告する本番障害モードを防止。例：冪等性キーの欠落、バッチ制限の未実施、エラーコードの未マッピング）、そして統合（エージェントが自動的に追加しない配線のギャップを補完。例：タグなし、リクエストIDログなし、「名前」の代わりに裸の送信元アドレス）。

このツールの最大の利点はその決定論的な性質です。開発者が強調するように、「AIコードをAIでテストすることはできません。api-doctorはそのループを断ち切ります。同じルール、同じ出力、毎回。モデル呼び出しでもプロンプトでもありません。」この設計により、AI生成コードのテストが簡単で信頼できるものになります。

インストールと使用法については、api-doctor は主にCLIコマンドとして実行され、プロジェクトディレクトリで「npx @api-doctor/cli .」を実行するだけでスキャンを開始できます。また、Claude Code、Cursor、Windsurfなどのエージェントスキルとして統合することもでき、「npx @api-doctor/cli install」コマンドでインストールします。

プライバシーとテレメトリーに関して、api-doctor は匿名の使用データを収集してツールの改善に役立てます。収集されるデータには、CLIバージョン、Node.jsバージョン、プラットフォーム、実行コンテキスト（ローカル、CI、エージェント）、検出されたAPIプロバイダー名、発火したルール名（コードは含まれない）、スコアと検出数、同一プロジェクトの実行間のスコア差（ローカル保存）、ハッシュ化されたプロジェクト識別子が含まれます。ツールは、ユーザーのコード内容、生のファイルパス、プロジェクト名、個人を特定できる情報を決して収集しないと明言しています。ユーザーは「--no-telemetry」フラグを追加するか、環境変数「API_DOCTOR_TELEMETRY=0」または「DO_NOT_TRACK=1」を設定することでテレメトリーをオプトアウトできます。

api-doctor はMITライセンスの下でオープンソースとして公開され、ソースコードはGitHubでホストされており、コミュニティによる新しいプロバイダールールの貢献を歓迎しています。このツールはQualtyによって開発され、AI生成コードを完全に信頼することなく、API統合の問題を迅速に発見して修正するのに役立ちます。