당신의 AI 코드 리뷰어가 계속 버그를 놓치는 이유 (그리고 실제로 효과적인 방법)

아마 여러분도 이미 눈치채셨을 겁니다. 까다로운 코드 조각을 Claude나 ChatGPT에게 리뷰해달라고 던져주면, 녀석은 엄지손가락을 치켜세우며 통과라고 합니다. 그러다 스테이징(Staging) 환경이 깨집니다. 그리고 새벽 2시에 프로덕션 로그를 뒤지며, 왜 당신의 AI 리뷰어가 그 오프 바이 원 에러(off-by-one error)를 잡아내지 못했는지 의문을 품게 됩니다.

문제는 이겁니다. AI 코드 리뷰어는 패턴 매칭(pattern matching)과 명백한 문제를 찾아내는 데는 놀라울 정도로 뛰어납니다. 하지만 컨텍스트(context)에는 매우 취약합니다. 그들은 당신의 코드베이스(codebase)를 모릅니다. 당신의 비즈니스 로직(business logic)을 모릅니다. 당신을 항상 괴롭히는 그 이상한 엣지 케이스(edge case)도 모릅니다.

진짜 문제

AI 리뷰어들은 공개된 코드로 학습되었습니다. 일반적인 베스트 프랙티스(best practices), 보안 문제, 그리고 흔한 실수들을 찾아내는 데는 탁월합니다. 하지만 실제로 프로덕션을 망가뜨리는 버그들은 무엇일까요? 그것들은 코드가 '수행하는 것'과 코드가 '수행해야 하는 것' 사이의 간극에 존재합니다.

저는 이를 고통스럽게 배웠습니다. Claude에게 결제 처리 함수를 리뷰하게 한 적이 있습니다. 녀석은 누락된 에러 핸들링(error handling)을 지적했습니다(좋은 점입니다). 하지만 우리가 잘못된 타임스탬프(timestamp) 필드를 기반으로 환불을 계산하고 있다는 사실은 놓쳤습니다. 이는 우리가 통합하려는 레거시 시스템(legacy system)을 이해해야만 알 수 있는 문제였습니다.

실제로 효과가 있는 방법

1. 필요한 컨텍스트를 제공하세요

단순히 함수만 붙여넣지 마세요. 이상한 결정 사항들을 설명하는 주석과 함께 붙여넣으세요:

// 참고: 우리의 구형 시스템이 배치 임포트(batch imports) 시
// 업데이트 타임스탬프를 제대로 동기화하지 않기 때문에
// updatedAt이 아닌 `createdAt`을 사용합니다.
const refundAmount = calculateRefund(order.createdAt, order.refundPolicy);

이제 리뷰어가 붙잡고 분석할 수 있는 무언가가 생겼습니다. 리뷰어는 당신의 로직이 '그' 컨텍스트와 일치하는지 확인할 것입니다.

2. 구체적인 리뷰 카테고리를 요청하세요

"이 코드를 리뷰해줘" 대신에 다음과 같이 시도해 보세요:

• "null 값과 빈 배열 주변의 엣지 케이스(edge cases)를 확인해줘"
• "이 코드가 동시에 실행될 경우 레이스 컨디션(race conditions)이 발생하는지 살펴봐줘"
• "할인 계산을 위한 수학적 계산이 정확한지 검증해줘"

이렇게 함으로써 진짜 버그가 숨어 있는 곳으로 범위를 좁힐 수 있습니다.

3. 로직이 아닌 보안을 위해 사용하세요

이 지점이 바로 AI 리뷰어가 빛을 발하는 부분입니다. AI는 SQL 인젝션 (SQL injection), XSS, 자격 증명 유출 (credential leaks), 그리고 보안에 취약한 의존성 (insecure dependencies)을 찾아내는 데 진정으로 뛰어납니다. 이런 용도로 AI를 사용하세요. 비즈니스 로직 (business logic) 버그의 경우에는 여전히 사람이나 매우 엄격한 테스트가 필요합니다.

4. 대신 더 나은 테스트를 구축하세요

만약 주석으로 로직을 설명할 수 없다면, 테스트 스위트 (test suite)가 로직이 작동함을 증명해야 합니다:

test('결제 주기 중간에 취소할 경우 환불 금액이 정확히 계산되는지 확인', () => {
  const order = createOrder({
    billingCycleStart: '2026-06-01',
...

이렇게 하면 AI에게 리뷰를 요청할 때, AI가 테스트에 인코딩된 실제 요구 사항을 확인할 수 있습니다.

효과적인 하이브리드 접근 방식

1. 테스트를 먼저 작성하세요 (또는 최소한 코드와 함께 작성하세요)
2. 코드에 대해 우려되는 특정 사항을 AI에게 물어보세요
3. 비즈니스 로직은 사람이 리뷰하게 하세요 — 동료에게 10분만 시간을 내달라고 하는 것이 막연히 기대하는 것보다 훨씬 낫습니다.
4. 그 외의 모든 것—보안, 성능, 스타일, 명백한 버그—은 AI를 사용하여 잡아내세요

사람들이 범하는 실수는 AI 코드 리뷰를 사고(thinking)의 대체제로 취급하는 것입니다. AI는 강력한 도구(power tool)이지, 코드를 이해하는 것을 대신해 주는 대체제가 아닙니다.

솔직한 이야기

저는 AI 리뷰어가 비즈니스 로직 버그를 잡아내기를 기대하는 것을 그만두었습니다. 이것은 실패가 아니라, 그저 물리적인 한계입니다. 일반적인 코드로 학습된 AI가 당신 회사의 규칙을 마법처럼 알 수는 없습니다. 그 부분은 당신의 몫입니다.

AI가 실제로 잡아내는 것들: 오타, 보안 취약점, 순수 함수 (pure functions)에서의 누락된 엣지 케이스 (edge cases), 그리고 더 나은 접근 방식을 끌어내는 "왜 그런 방식으로 구현했나요?"와 같은 질문들입니다.

이것만으로도 여전히 믿을 수 없을 만큼 가치 있습니다. 단지 당신의 두뇌를 대신할 수는 없을 뿐입니다.

즐거운 디버깅 되시길 바랍니다. 🚀