앤트로픽, AI가 먼저 코드 검토…사람 승인은 위험도 따라

앤트로픽이 10월 15일(현지시간) Claude Code 팀의 코드 검토 방식을 공개했다. AI가 작성한 코드를 AI가 먼저 점검하고, 위험도에 따라 사람이 승인하는 구조다. 팀은 6월부터 9월까지 코드에 반영한 변경 요청이 두 배 이상 늘었고, 반영한 뒤 되돌려야 했던 비율은 40% 넘게 줄었다고 밝혔다.

사람이 읽기 전에 AI가 먼저 본다

앤트로픽에 따르면 Claude Code 코드의 약 90%는 Claude가 작성한다. 늘어나는 변경을 사람이 한 줄씩 읽어서는 감당하기 어렵다는 것이 팀의 설명이다. 그래서 검토를 작업 마지막에 몰아두던 방식을 버리고, 코드를 만드는 도중에도 오류를 찾아 고치도록 바꿨다.

첫 단계는 Claude가 자기 작업 결과를 직접 확인하게 하는 것이다. 테스트를 돌리거나 화면을 설계안과 맞춰 본 뒤, 완료했다는 말 대신 실제 결과를 내놓게 한다. 그다음에는 별도의 AI가 변경 내용을 새로 살핀다. 정식 변경 요청이 올라오면 Claude가 전체 코드와 변경 목적을 함께 확인해 다른 기능을 망가뜨리는지도 점검한다.

AI가 찾아낸 문제도 곧바로 사람에게 넘기지 않는다. 여러 AI가 오류를 찾고, 또 다른 AI들이 그 지적이 실제 문제인지 판단한다. 충분한 동의를 얻은 지적만 검토 의견으로 남는다. 보안 검토는 따로 진행한다. 남은 지적은 고치거나, 문제가 아니라고 본 이유를 적어야 코드를 반영할 수 있다.

위험한 변경은 사람이 승인

사람의 승인이 필요한지는 변경 내용의 위험도에 따라 갈린다. 문서 수정과 자동 업데이트 기능 변경에 같은 기준을 쓰지 않는 식이다. 자동 분류가 위험도를 정하고, 추가 판단 단계에서 다른 사람의 검토가 필요한지 살핀다. 민감한 영역이나 자동 검사 작업의 설정 파일은 반드시 사람이 검토한다. 간소한 승인 절차는 저장소의 신뢰 목록에 오른 작성자에게만 적용한다.

AI에게 작업을 지시한 사람이 그 결과에 책임을 진다. 사람이 해야 하는 승인을 AI가 대신할 수도 없다. 팀의 목표는 되돌리기와 사고를 늘리지 않으면서, 대부분의 변경 요청을 작성자를 포함해 최대 한 명만 거쳐 반영하는 것이다. 반영 직전에는 다른 변경과 합쳤을 때도 검사를 통과하는지 확인한다. 새 기능은 보통 직원에게 먼저 적용하고, 문제가 생기면 새로 배포하지 않고도 기능을 끌 수 있게 했다.

내 팀에서도 쓸 수 있나

외부 개발팀이 쓸 수 있는 Code Review for Claude Code는 Team과 Enterprise 요금제에서 정식으로 쓸 수 있다고 앤트로픽은 밝혔다. 관리자는 저장소마다 Quick, Standard, Deep 중에서 검토 수준을 고른다. 오류 하나를 놓쳤을 때의 손실이 검토에 더 쓰는 시간보다 큰 작업에는 Deep이 맞다는 것이 회사의 설명이다. 개발자가 자기 작업 환경에서 돌리는 더 가벼운 검토 방식도 있다.

자동 검토에는 같은 일을 되풀이하게 만드는 문제도 있었다. 팀은 변경 요청 하나가 하룻밤 사이 50차례 넘게 검토와 수정을 오간 사례를 소개했다. 되풀이된 지적을 추적해 보니 약 59%는 첫 검토 때부터 있던 코드에 관한 것이었다. 팀은 실제 오류를 얼마나 찾아내는지와 함께, 검토를 통과하기까지 몇 번을 오가는지도 지켜보고 있다. 과거에 사고를 낸 변경은 매일 검토 성능을 시험하는 재료로 쓴다.

앤트로픽은 사람이 검토에 쓴 시간뿐 아니라 잘못된 코드를 고치는 데 든 시간도 비용으로 본다고 설명했다. 다만 사고나 되돌리기가 늘어날 때 승인 기준을 자동으로 높이는 장치는 아직 없다고 팀은 밝혔다. 사람 손을 거치지 않고 반영하는 범위를 넓히려면 이 장치를 먼저 갖춰야 한다는 것이 팀이 남겨둔 과제다.