mergemind

MergeMind é um analisador de merge requests integrado ao CI, voltado para equipes que precisam apresentar evidências de auditoria sobre alterações de código. Ele funciona como um GitHub Action ou um job do GitLab CI, inspeciona o diff de um pull/merge request e posta uma avaliação estruturada de volta ao pedido como um comentário ou nota. ## O que ele produz Para cada pull request, a ferramenta gera: - um título e resumo estruturados do PR - uma classificação de nível de risco (Baixo / Médio / Alto) - um mapeamento de conformidade com os controles SOX, SOC2 e ISO 27001 (o exemplo do README cita SOX CC6.1, SOC2 CC6.1 e ISO 27001 A.9.4 para uma alteração de autenticação) - análise de lacunas de controle - recomendações de remediação O README ilustra a diferença entre uma descrição vaga como "atualizei alguns arquivos e corrigi bugs" substituída por um resumo com título, nível de risco, mapeamento de controle, uma lacuna identificada (aplicação de MFA não coberta por testes) e uma ação sugerida antes da mesclagem com a main. ## Como ele funciona GitHub Actions: você adiciona um workflow que é acionado em `pull_request` (opened, synchronize, reopened), realiza o checkout com `fetch-depth: 0` para que o intervalo do diff seja resolvido e chama `gusinfosec/mergemind@v1`. O secret obrigatório é `OPENAI_API_KEY`; um secret de chave de licença é opcional. A action precisa de permissões `contents: read` e `pull-requests: write`, e o comentário é criado no primeiro push e atualizado posteriormente. GitLab CI: o README afirma que o caminho do GitLab ainda é via copiar e colar — você copia `examples/gitlab-ci.yml` para seu repositório (ou mescla o job), que clona o MergeMind em `.mergemind` e executa a análise ali. As variáveis de CI/CD obrigatórias são `OPENAI_API_KEY` e um token de acesso pessoal `MERGEMIND_GITLAB_TOKEN` com escopo `api` para postar notas de MR; `MERGEMIND_GITLAB_HOST` cobre instâncias autogerenciadas e assume gitlab.com por padrão. O empacotamento de action de linha única é exclusivo do GitHub Actions. ## Licenciamento e limites O nível gratuito cobre o título e resumo do PR, além do nível de risco. O mapeamento de conformidade, a análise de lacunas de controle, as recomendações de remediação e a análise de diff completo sem limite de token são listados como recursos exclusivos de licença. A licença é descrita como uma compra única de $29 via Stripe, com a chave de licença armazenada como um secret do repositório/CI; o README também afirma haver um nível gratuito que funciona sem a chave. Note que o badge do repositório indica uma licença MIT, enquanto vários recursos principais estão bloqueados por essa chave paga. ## Postura de segurança conforme descrita O processamento ocorre dentro do seu próprio runner de CI, as chaves de API são mantidas como secrets de CI e o README afirma que nenhum código é armazenado externamente. No entanto, os diffs são enviados para a API da OpenAI para análise, o que deve ser confirmado em relação aos seus próprios requisitos de manipulação de dados. ## Considerações práticas Antes de adotá-lo, reserve orçamento para uma chave de API da OpenAI e custos de modelo por execução, decida se o envio de diffs para um provedor de modelo externo é aceitável para os repositórios em escopo e trate os mapeamentos de controle como prompts para o revisor, e não como um parecer de auditoria. O projeto é publicado pela Cyber Global Technologies LLC com contato de suporte em team@mergemind.dev; consultas empresariais devem ser enviadas para info@cyberglobal.ai.