Catch the Bugs Your Code Review Misses - Killian Carlsen-Phelan & Taylor Luttrell-Williams, Sonar

한 줄 핵심

AI가 작성한 코드를 사람이 다 검토하기 어려운 상황에서, GitHub PR과 CI 컨텍스트를 활용해 코드 변경을 자동 검증·수정·병합하는 Git Guardian/Gitar의 실전 사용법을 보여주는 워크숍이다.

시간별 요약

1. 0:00
   소개 Sonar의 개발자 콘텐츠 팀이 AI 생성 코드의 문제를 발견하는 데서 끝나지 않고, 실제 배포 전에 비판적으로 검증하고 고치는 방법을 오늘의 목표로 제시한다.
2. 0:39
   무료 체험과 워크숍 저장소 설정 QR 코드로 14일 Pro 체험을 시작하고 전용 GitHub 워크숍 저장소에 접근해 브라우저만으로 따라올 수 있도록 준비한다. 설치된 GitHub App과 저장소 설정이 있어야 자동 검증, 자동 병합 같은 기능을 실습할 수 있다.
3. 4:19
   누가 에이전트가 쓴 코드를 검증하는가 AI 코딩 에이전트가 코드를 빠르게 많이 만들수록 리뷰 병목과 운영 장애가 늘어나므로, 더 빠르고 더 정확한 검증 계층이 필요하다는 문제를 짚는다. 단순한 문법·정적 분석만으로는 의도와 비즈니스 규칙 위반을 잡기 어렵다.
4. 6:46
   Gitar가 하는 일 Gitar는 PR diff, 코멘트, CI 로그, 프로젝트별 지침 같은 다양한 컨텍스트를 모아 변경을 검증하고, 실패 원인을 진단하며, 필요하면 자동으로 수정까지 수행한다. 높은 신호 대 잡음비와 반복 검증, 대시보드를 통한 투명성이 핵심 가치로 제시된다.
5. 10:30
   실습: 저장소 포크하기 워크숍 저장소를 자신의 조직 아래로 포크하고, main만 복사하지 않도록 주의하며, GitHub Actions와 Gitar 대시보드 설정을 맞춘다. 이렇게 해야 자동 머지와 승인, 그리고 포크된 저장소에 대한 Gitar의 읽기 권한이 정상 동작한다.
6. 12:43
   Box Office 데모 앱 Box Office는 티켓 구매·취소·환불과 QR 체크인을 다루는 간단한 Python 예제이며, 각 브랜치별 PR을 미리 열어 Gitar 검토를 병렬로 돌린다. 실습은 fork를 기준 저장소로 삼아야 하며, 테스트는 각 PR마다 CI로 실행된다.
7. 15:43
   첫 번째 PR: diff 밖에 숨어 있는 버그 티켓을 다른 사람에게 넘긴 뒤 원래 구매자가 취소해 버리면 친구의 티켓까지 무효가 되는 엣지 케이스가 발생한다. diff에 드러나지 않더라도 기존 환불 로직과의 상호작용을 읽어내어, 실제로 깨지는 비즈니스 동작을 찾아낸다.
8. 20:08
   한 번의 클릭으로 수정하기 적용 버튼이나 `Guitar fix` 코멘트만으로 새 커밋을 만들고, 이후 검증과 재시도를 자동으로 반복해 PR이 다시 녹색이 되도록 한다. 실패 진단, 재푸시, 재검증의 반복을 사람이 직접 하지 않아도 된다.
9. 22:07
   두 번째 PR: 비즈니스 규칙을 학습시키기 모든 표시 가격은 all-in price여야 한다는 회사 규칙처럼 코드에 직접 드러나지 않는 정책을 `.gitar/review`와 `.gitar/rules`로 주입할 수 있다. 가격 관련 필드를 편집한 PR에서 고객에게 보이는 값이 규칙을 따르는지 검사해, 기술적으로는 맞아도 사업상 틀린 변경을 걸러낸다.
10. 26:36
    세 번째 PR: CI 실패 진단과 자동 병합 브랜치 규칙과 상태 체크를 설정해 테스트가 통과해야만 자동 병합되도록 한 뒤, 실패한 CI 로그를 읽어 스캔 로직 리팩터링의 결함을 찾아낸다. `guitar auto apply on`과 `guitar auto merge on`을 켜면 수정과 검증, 병합까지 한 흐름으로 자동화된다.
11. 33:24
    고급 기능: 저장소 간·PR 간 분석 Jira, linear, Slack 같은 외부 맥락을 연결해 변경이 실제 티켓과 맞는지 검증하고, 피드백과 리뷰 히스토리를 학습해 더 정교한 판단을 만든다. 또한 여러 저장소나 진행 중인 여러 PR 사이의 상호 충돌까지 분석해, 개별 PR은 통과하지만 함께 넣으면 깨지는 문제를 찾는다.
12. 36:54
    질의응답 MCP 연결 가능 여부와 knowledge 기능의 차이처럼, 외부 컨텍스트 수집 방식과 리뷰 성향을 학습하는 방식의 경계를 설명한다. knowledge는 Gitar가 앞으로 어떤 방식으로 수정할지에 대한 선호를 저장하는 쪽에 가깝고, 외부 연동은 별도의 통합 경로를 통해 확장된다.

실무 인사이트

• 정적 분석과 코드 리뷰 에이전트는 경쟁 관계가 아니라 보완 관계이므로, 보안·구조 문제는 기존 도구로, 의도·비즈니스 규칙 위반은 Gitar 같은 검증 에이전트로 나누어 잡는 구성이 효과적이다.
• PR diff만 보지 말고 기존 기능, CI 로그, 문서·슬랙·티켓 같은 주변 컨텍스트까지 함께 보게 해야 실제 배포 사고를 줄일 수 있다.
• 자동 수정과 자동 병합은 한 번에 켜기보다, 저장소별 규칙과 상태 체크를 먼저 정교하게 만든 뒤 단계적으로 확대하는 편이 안전하다.