에이전트 PR은 어디에나 있다. 이렇게 리뷰하자

2026년 1월 연구 More Code, Less Reuse는 에이전트 생성 코드가 사람 코드보다 변경당 중복과 technical debt를 더 많이 쌓는다고 지적한다. 겉보기는 깔끔해도 리뷰어는 오히려 더 쉽게 승인하는 경향이 있어, 속도보다 의도적인 검토가 필요하다.

GitHub의 Copilot code review는 이미 6,000만 건 이상을 처리했고, GitHub 코드 리뷰의 5건 중 1건 이상이 에이전트와 관련된다. PR 수는 인간 리뷰 용량보다 더 빠르게 늘고 있어, 리뷰의 초점은 보이는 품질이 아니라 숨은 위험을 찾는 데 맞춰야 한다.

특히 다음 신호는 바로 막아야 한다.

• CI 약화: coverage 하향, 테스트 삭제·스킵, || true, fork/PR 차단, 조건부 실행 확대
• 중복 코드: 새 helper나 utility가 기존 구현을 다시 만드는지 저장소 전체 검색
• 틀렸는데 통과하는 로직: pagination 경계값, 권한 체크 누락, race condition, 외부 입력 검증 실패
• 큰데 계획 없는 PR: 응답 이력이 없거나 구조적 계획이 없고, 5개 이상 무관한 파일 변경이나 빈 본문이 보이면 먼저 분해 요청
• 워크플로우 보안: PR 본문·issue·commit message 같은 untrusted input을 prompt에 넣을 때 sanitization, GITHUB_TOKEN 최소 권한, 모델 출력의 shell 실행 금지

실전에서는 10분 안에 범위를 분류하고, .github/workflows와 테스트 설정을 먼저 본 뒤, 새 utility 중복을 검색하고, 핵심 경로를 input→transform→output으로 추적하라고 권한다. 비자명한 변경에는 pre-change에서 실패하는 테스트를 요구하고, Copilot 같은 자동 리뷰를 먼저 돌린 뒤 사람이 판단이 필요한 부분에 집중해야 한다. 팀별 custom instructions로 CI 임계치 변경, 새 utility, 외부 입력 검증을 표면화할 수 있고, 개인 체크리스트를 Copilot SDK로 자동화하는 방식도 가능하다.