fork PR しか出せない AI エージェントに「マージまで」を完了条件にさせない

誰のための指示書か

GitHub リポジトリに対して push 権限を持たないアカウントで AI エージェント（Claude Code / Codex 等）を動かしている人向け。 エージェントは fork → PR までしか到達できないのに、タスクの完了条件に「マージ」を書いてしまい、 毎セッション「CI を確認してマージする」を引き継ぎ続けて永久に終わらないという滞留が起きる。

症状

• 引き継ぎメモに「PR #N の CI green を確認してマージする」が何日も残り続ける
• CI は全部 pass、mergeable=MERGEABLE / mergeStateStatus=CLEAN なのに PR は OPEN のまま
• auto-merge を有効化するワークフローが 成功（pass）と表示されているのに、実際には有効化されていない

原因（2つ同時に効く）

1. 権限: エージェントの認証アカウントが pull のみ。gh pr merge は <user> does not have the correct permissions to execute MergePullRequest で落ちる。
2. fork PR は auto-merge ワークフローの対象外: pull_request イベントで動く自動マージ用ワークフローは、 fork からの PR では GITHUB_TOKEN が read-only に降格されるため、ジョブ自体は成功扱いで終わっても auto-merge が有効化されない。

診断（3コマンド・全部読み取り専用）

# 1. 自分の権限を見る（push:false なら マージは物理的に不可）
gh api repos/<owner>/<repo> --jq .permissions
# => {"admin":false,"maintain":false,"pull":true,"push":false,"triage":false}

# 2. fork PR かどうか
gh pr view <N> --repo <owner>/<repo> --json isCrossRepository,headRepositoryOwner

# 3. auto-merge が「本当に」有効か（ジョブの pass 表示を信じない）
gh pr view <N> --repo <owner>/<repo> --json autoMergeRequest
# => {"autoMergeRequest":null}  ← null なら有効化されていない

3 が肝。auto-merge を有効化するジョブの pass は「ジョブが落ちなかった」以上の意味を持たない。 有効化の成否は autoMergeRequest を直接見るまで分からない。

対処

即効（エージェント側のルール）

fork PR を出した時点で、そのタスクの完了条件は「PR を出した」まで。 完了条件に「CI green」「マージ済み」を書かない。引き継ぎには次を1行で書く。

PR #N は CI 全green・CLEAN。<アカウント> は pull 権限のみでマージ不可（実測）。
次セッションの作業は `gh pr view N --json state` の確認1回のみ。マージは <権限保持者> 依頼。

これを機械で強制したいなら、完了報告の直前に走るゲートで 「cross-repository な PR に言及していて、かつ state が MERGED でない のに『マージ済み』と書いている」 を検査して差し戻す。

恒久（リポジトリ側・どちらも追加費用なし）

A を選ぶ場合、Write 権限だけだと CI を無視したマージが可能になるため、 required checks の設定とセットで行うこと。片方だけ入れると安全性が下がる。

再発防止のチェックリスト

• エージェントに新しいリポを触らせる前に gh api repos/<owner>/<repo> --jq .permissions を1回流す
• push:false なら、そのリポのタスク完了条件から「マージ」を外す
• auto-merge の有無は autoMergeRequest で判定する（ワークフローの pass 表示で判定しない）
• 引き継ぎには「誰がマージするか」を明記する