Depwireとは？
Depwire は tree-sitter とパターンベースのパーサーでプロジェクトを解析し、import、呼び出し、依存元からなるシンボル単位のグラフを作り、24 個のツールで MCP クライアントに提供します。エージェントはファイルに手を付ける前に、あるシンボルに何が依存しているか、変更がどのファイルに及ぶか、どの export が使われていないように見えるか、削除・移動・名前変更・分割・統合で何が壊れるかを問い合わせられます。アーキテクチャの健全性を 0 から 100 で採点し、セキュリティ上のパターンを検査し、TypeScript の fetch 呼び出しと Flask のルートの対応のような言語をまたぐ関係も記録します。
Atef Ataya が TypeScript で書いており、npm の depwire-cli パッケージとして配布され、2026年11月10日に v1.29.0 をリリースしました。ライセンスは Business Source License 1.1 で、個人利用と企業内利用は無料、2029年2月25日に Apache 2.0 へ移行します。リポジトリのスターは約 70 で、npm のダウンロード数は 11月10 日までの 1 週間で 574 でした。
Depwireのインストール方法
npx -y depwire-cli mcpDepwireは使う価値があるか？
Depwire は一つの問いにうまく答えます。エージェントがこれを変えたら何が壊れるか、です。simulate_change ツールは削除、移動、名前変更、分割、統合のいずれかを受け取り、ソースファイルを編集せずに、壊れる import、影響を受けるノード、健全性スコアの変化をグラフから返します。impact_analysis、get_dependents、affected_files はより狭い用途を担い、find_dead_code は依存元のない export を、信頼度と理由コード付きで一覧にします。グラフは埋め込みではなく構文解析から作られるため、同じコードからは常に同じ答えが返ります。
README は自らの限界について珍しいほど率直です。7月のエージェント・ベンチマークとそこから導いた性能の主張は、監査で正解データの露出と作業ディレクトリの不一致が見つかったため撤回され、プロジェクトは引用しないよう求めています。実在プロジェクトの解析結果の表には、v1.9.0 でシンボル数と関係数に影響するパーサーのバグを修正したこと、数値は測り直していないことが注記されています。verify_change は変更の安全性を保証せず、ビルドもテストも実行しないとはっきり書いています。この率直さはベンチマークより価値がありますが、Depwire を使うとエージェントの成果が上がるという現時点の公開された証拠はない、ということでもあります。
セキュリティ面では、解析はファイルを読 むだけで実行せず、CLI はテレメトリを送らず、ソースコードが Depwire に送られることはありません。MCP サーバーは stdio で動き、可視化用サーバーは 127.0.0.1 にバインドします。ただしツールは書き込みを行います。グラフの出力、SQLite のキャッシュ、生成ドキュメント、.depwire/AGENTS.md、さらに連携ツールによる予約と決定の記録です。connect_repo は任意の GitHub URL をクローンできるため、信頼できないコードやコメントがエージェントのコンテキストに入ります。2026年11月の勧告（GHSA-h5xc-3hqf-qqm2）では、シンボリックリンクを使うと .ssh や /etc などのパスに対する connect_repo のブロックをすり抜けられることが示され、v1.28.3 で修正されました。
近い製品と比べると、codebase-memory-mcp は似た影響範囲や呼び出し経路の問いを MIT ライセンスの C バイナリで扱い、利用者も多く、CocoIndex Code はグラフ検索ではなく意味検索を行います。Depwire ならではの機能は、変更のシミュレーション、git の参照間の構造的な差分、言語をまたぐルートの関係です。BUSL は企業内での利用を認めていますが、これを使って製品やホスト型サービスを作る場合は作者から商用ライセンスを得る必要があります。
真価を発揮する場面
300 ファイルの TypeScript サービスを担当するバックエンドエンジニア
ビルドを壊さずにユーティリティモジュールを削除する
エージェントがそのファイルの削除で simulate_change を呼び、壊れる import の一覧を読んで各呼び出し元を直し、それからビルドします。社内利用なら BUSL のもとで無料です。グラフの答えはテストの代わりにはなりません。
13 モジュールの Maven プロジェクトのテックリード
中核インターフェースの変更がどの拡張モジュールに及ぶかを把握する
impact_analysis は Maven と Gradle のモジュール境界をまたいで import を解決するので、変更を計画する前にモジュール横断の依存元一覧が得られます。depwire parse で一度解析し、保存したグラフから MCP を起動します。
一つのリポジトリで 2 つのコーディングエージェントを動かすプラットフォームチーム
エージェント同士が同じファイルを同時に編集しないようにする
各エージェントが claim_files で編集の意図を記録し、編集前に get_active_claims を確認します。予約は .depwire/claims.jsonl への参考情報の記録で、ファイルシステムのロックではないため、協調するクライアント同士でしか機能しません。
導入前に確認すること
- 導入
- クライ アント設定に npx -y depwire-cli mcp を書くか、npm install -g depwire-cli でインストールします。Claude Desktop と Cursor 向けに説明があり、stdio のクライアントならどれでも使えます。Node 22 以降が推奨で、Node 20 では解析キャッシュが使えない場合があります。先に depwire parse . を実行すると、保存したグラフから MCP を起動できます。
- 連携
- 24 個のツールで、大半は読み取り専用の問い合わせです（get_dependents、impact_analysis、find_dead_code、simulate_change、security_scan）。書き込みを行うのは update_project_docs、claim_files、release_files、record_decision で、.depwire/ 以下に書き込みます。ほかに CLI、SDK、GitHub Action、pre-commit フック、VS Code 拡張機能があります。
- データとプライバシー
- stdio でローカルに動作し、テレメトリはなく、コードは Depwire に送られません。セキュリティスキャンは既定で依存関係を監査し、その際に依存関係のメタデータをパッケージレジストリや勧告サービスに送ります。--no-dependency-audit で無効にできます。connect_repo は GitHub URL をクローンするため、プロンプトインジェクションの経路になります。勧告 GHSA-h5xc-3hqf-qqm2（シンボリックリンクによる保護パスの回避）は v1.28.3 で修正済みです。
- 大規模利用時のコスト
- 個人利用と企業内利用は無料です。Depwire Cloud と VS Code Pro は $9.99/月です。こ れを基にした製品向けの商用ライセンスはメールで相談する形で、価格は公開されていません。
- 制限
- パーサーは対応する構文しか捉えず、1 MB を超えるファイルは読み飛ばされます。verify_change は編集後の内容について循環グループの安全性を not_comparable と返し、ビルドもテストも実行しません。Cloud の /pr-review エンドポイントは 2026年10月18日から HTTP 503 を返しています。
良い点
- 5 種類のリファクタリングをシミュレーション
- 埋め込みを使わない決定的なグラフ
- 16 言語と Angular テンプレートに対応
- 撤回したベンチマークやパーサーの限界を率直に開示
気になる点
- BUSL-1.1 で、2029 年まではオープンソースではない
- スターは約 70 で、主な作者は一人
- connect_repo が信頼できないリポジトリをコンテキストに取り込む
- パーサーが対応しない関係はグラフから漏れる
おすすめの人
中規模の TypeScript、Python、JVM のコードベースで、編集前にエージェントにリファクタリングの影響範囲を確認させたいエンジニア。
Depwireの代替
Depwire：よくある質問
- Depwireは使う価値があるか？
- 変更で何が壊れるかを確かめるための丁寧で正直なグラフツールですが、利用者の少なさとオープンソースではないライセンスが足を引っ張っています。 評価は5点満点中3.6点です。
- Depwireの料金は？
- CLI と MCP サーバーは BUSL-1.1 のもとで個人利用と社内利用が無料です。Depwire Cloud と VS Code 拡張機能の Pro 機能は $9.99/月です。
- Depwireの欠点は？
- BUSL-1.1 で、2029 年まではオープンソースではない; スターは約 70 で、主な作者は一人; connect_repo が信頼できないリポジトリをコンテキストに取り込む; パーサーが対応しない関係はグラフから漏れる.
- Depwireは誰に向いているか？
- 中規模の TypeScript、Python、JVM のコードベースで、編集前にエージェントにリファクタリングの影響範囲を確認させたいエンジニア。
- チームや本番環境でDepwireを使うと費用はいくらか？
- 個人利用と企業内利用は無料です。Depwire Cloud と VS Code Pro は $9.99/月です。これを基にした製品向けの商用ライセンスはメールで相談する形で、価格は公開されていません。
- Depwireは企業データを扱っても安全か？
- stdio でローカルに動作し、テレメトリはなく、コードは Depwire に送られません。セキュリティスキャンは既定で依存関係を監査し、その際に依存関係のメタデータをパッケージレジストリや勧告サービスに送ります。--no-dependency-audit で無効にできます。connect_repo は GitHub URL をクローンするため、プロンプトインジェクションの経路になります。勧告 GHSA-h5xc-3hqf-qqm2（シンボリックリンクによる保護パスの回避 ）は v1.28.3 で修正済みです。
- Depwireの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はcodebase-memory-mcp, CocoIndex Code, CodeGraph 、 Serenaです。
回答確認日：2026年11月11日