오픈 소스 생태계는 어려운 질문에 직면하고 있습니다: AI의 도움을 받아 커밋(commit)이 작성되었을 때, 우리는 이를 어떻게 알 수 있으며, 공개 정책을 어떻게 강제할 것인가?

Python의 담론, Linux 커널의 Assisted-by 트레일러(trailer), Fedora의 AI 정책, Apache의 공개 가이드라인 등 모든 주요 프로젝트가 이 문제로 고민하고 있습니다. 하지만 지금까지 프로젝트가 선택한 정책을 CI(지속적 통합, Continuous Integration) 레벨에서 강제할 수 있는 도구는 없었습니다.

Commit Check v2.11.0은 **AI 기여도 거버넌스 (AI Attribution Governance)**를 도입합니다. 이는 커밋 메시지에서 알려진 AI 도구의 시그니처(signature)를 탐지하고, 프로젝트가 이를 전면 금지할지 여부를 결정할 수 있게 해주는 새로운 기능입니다. 저희가 알기로는, 기존의 어떤 도구도 CI 레벨에서 이러한 종류의 정책을 강제하지 않습니다.

업계의 필요성

AI 공개에 관한 논의는 더 이상 이론적인 단계에 머물러 있지 않습니다:

• Linux 커널은 Assisted-by: 트레일러 형식을 표준화했지만, 의도적으로 CI 강제화 단계까지는 나아가지 않았습니다. Sasha Levin이 Maintainers Summit에서 언급했듯이, 커널은 관례(convention)를 설정할 뿐, 관문(gate) 역할을 하지는 않습니다.
• Python 커뮤니티는 Claude Code 사용 여부를 문서에 기록해야 하는지에 대해 활발히 논의 중입니다.
• VS Code 이슈 #313962에서는 AI 에이전트를 위해 Co-authored-by를 Assisted-by로 대체할 것을 제안합니다.
• Fedora는 AI 공개를 요구합니다 (Assisted-by 트레일러 권장). QEMU와 Gentoo는 한 걸음 더 나아가 AI가 생성한 기여를 전면 금지합니다.

각 커뮤니티는 자체적인 정책을 정의하지만, 중립적인 강제 계층을 제공하는 곳은 없습니다. 그것이 바로 Commit Check가 메우고자 하는 공백입니다.

설정: 단일 토글

Commit Check는 단순함을 유지합니다. 하나의 설정 값, 세 가지 설정 방법이 있습니다.

TOML (cchk.toml):

[commit]
ai_attribution = "forbid"

CLI:

commit-check --message --ai-attribution=forbid

환경 변수:

CCHK_AI_ATTRIBUTION=forbid commit-check --message

두 가지 모드:

모드	동작
"ignore"	검증하지 않음 (기본값, 하위 호환성 유지)
"forbid"	알려진 AI 도구 시그니처 (signature)가 포함된 모든 커밋을 거부

이번 릴리스에는 require 모드는 없으며, 오직 ignore와 forbid만 존재합니다. 이유는 실용적인 관점 때문입니다. Assisted-by 또는 이와 유사한 트레일러 (trailer)를 필수적으로 요구하는 것은 (단순한 패턴 매칭이 아닌 의미론적 검증이 필요하므로) 훨씬 더 어려운 문제이며, 프로젝트들의 가장 즉각적인 요구사항은 거부할 수 있는 능력이기 때문입니다. require 모드를 원하는 커널 및 Fedora 커뮤니티의 요구사항은 로드맵에 포함되어 있습니다 (아래 "다음 단계" 참조).

탐지된 AI 도구 시그니처 (AI tool signatures)

Commit Check에는 알려진 AI 도구 마커 (marker)들이 큐레이션된 데이터베이스가 포함되어 있습니다. 탐지는 도구당 여러 시그니처 형식을 지원합니다 — Co-authored-by, Assisted-by, 본문 마커, 그리고 모델 이름 등이 포함됩니다:

AI 도구	탐지 대상
Claude Code	Co-authored-by: Claude, Assisted-by: Claude:<model>, 이모지 마커, Claude-Session:, Claude-Workflow:
...

내장된 오탐 방지 (false positive prevention)

이론적으로 Co-authored-by: Claude는 Claude라는 이름을 가진 사람일 수도 있습니다. 하지만 실제로는 AI 도구들이 알려진 noreply 이메일 주소를 사용합니다. Commit Check는 탐지 기준을 이 주소들에 고정하므로 다음과 같이 동작합니다:

🚫 Co-authored-by: Claude <noreply@anthropic.com> — 탐지됨
🚫 Assisted-by: Claude:claude-sonnet-4-20250514 [tools] — 탐지됨
✅ Co-authored-by: Claude Monet <monet@impressionism.fr> — 무시됨
✅ Co-authored-by: Jane Doe <jane@example.com> — 무시됨

커널 스타일의 Assisted-by: 형식은 선택적인 후행 도구 목록도 올바르게 처리합니다:

Assisted-by: Claude:claude-sonnet-4-20250514 coccinelle sparse

AI 도구 마커만 매칭되며, 도구 목록은 있는 그대로 유지됩니다.

실제 동작 확인

ai_attribution = "forbid"가 포함된 설정 파일이 있을 때:

# 이 커밋 메시지는 거부(REJECTED)됩니다
echo "fix: resolve race condition

...

[FAIL] ai-attribution: 커밋 메시지에 알려진 AI 도구 시그니처(signature)가 포함되어 있습니다: Claude

# 이 커밋 메시지는 깨끗하게 통과(pass)됩니다
echo "fix: resolve race condition

...

[PASS] 커밋 메시지가 유효합니다

생태계 전반의 통합 (Integration across the ecosystem)

이 기능은 Commit Check의 거의 모든 인터페이스에서 사용할 수 있습니다:

• CLI: --ai-attribution=forbid
• TOML 설정 (config): [commit] ai_attribution = "forbid"
• 환경 변수 (Environment variables): CCHK_AI_ATTRIBUTION=forbid
• Python API: validate_message()가 AI 기여도(attribution) 결과를 반환
• --format json: 구조화된 출력(structured output)에 AI 검사 상태 포함
• MCP 서버 (MCP Server) (commit-check-mcp): v0.1.7에서 동기화됨
• GitHub Action (commit-check-action): 다음 릴리스에서 제공 예정

범위 및 한계 (Scope and limitations)

AI 기여도 거버넌스(AI Attribution Governance)는 AI 코딩 도구의 기본 동작(default behavior), 즉 도구가 자동으로 추가하는 트레일러(trailers), 마커(markers), 메타데이터(metadata)를 탐지합니다. 이는 의도적인 우회(circumvention)를 잡아내도록 설계된 것이 아닙니다. 개발자가 커밋하기 전에 수동으로 AI 시그니처(signature)를 제거한다면, 이 기능은 이를 식별하지 못합니다.

이는 모든 린터(linter)가 작동하는 것과 동일한 신뢰 경계(trust boundary)입니다. --no-verify는 프리커밋 훅(pre-commit hooks)을 우회하며, 결심을 굳힌 작성자는 언제든 히스토리(history)를 다시 쓸 수 있습니다. 목표는 표준적인 사례에 대해 가시적이고 강제 가능한 정책을 설정하여 — AI 공개(disclosure)를 가장 저항이 적은 경로로 만들고 — 의도적인 회피는 코드 리뷰와 엔지니어링 문화의 영역으로 남겨두는 것입니다.

향후 계획 (What's next)

v2.11.0의 AI 기여도 거버넌스는 기초 단계입니다. 향후 작업에는 다음이 포함됩니다:

1. require 모드 (require mode) — Assisted-by 트레일러 (trailer)가 누락된 커밋을 거부하여, 공개를 의무화하는 Linux 커널이나 Fedora와 같은 프로젝트를 지원합니다.
2. PR 요약 (PR summaries) — 풀 리퀘스트 (pull requests) 내 각 커밋별 AI 공개 상태를 표시합니다.
3. MCP 개선 (MCP improvements) — AI 에이전트가 커밋을 작성하기 전에 describe_validation_rules를 쿼리하여 자동으로 규정을 준수합니다.
4. 더 풍부한 JSON 메타데이터 (Richer JSON metadata) — SBOM 및 감사 도구 (audit tooling)를 위한 구조화된 AI 서명 데이터를 제공합니다.

지금 바로 사용해 보세요

pip install commit-check==2.11.0
echo "feat: add streaming support" | commit-check -m --ai-attribution=forbid

또는 cchk.toml에 다음을 추가하세요:

[commit]
ai_attribution = "forbid"

그리고 CI가 모든 커밋에 대해 자동으로 AI 공개 정책을 강제하도록 설정하세요.

⭐ 프로젝트: github.com/commit-check/commit-check

AI 지원 커밋에 대한 여러분 팀의 정책은 무엇인가요? 공개, 금지, 아니면 상관없음인가요? 다양한 팀들이 이 문제를 어떻게 다루고 있는지 댓글로 들려주세요.