AI가 짜준 코드, 결국 사람이 검증한다

"코드는 AI가 짜고, 리뷰는 누가 하나요?" 요즘 개발 스터디에서 가장 많이 나오는 질문입니다. GitHub Copilot, Cursor, Claude Code 같은 도구가 순식간에 함수 하나, 모듈 하나를 뽑아내는 시대에 정작 병목은 '작성'이 아니라 '검증'으로 옮겨가고 있습니다.

왜 지금인가

Stack Overflow의 2024 개발자 설문에서 응답자의 상당수가 AI 코딩 도구를 이미 사용 중이거나 사용할 계획이라고 답했습니다. 반면 신뢰도는 그만큼 따라가지 못했습니다. 같은 조사에서 AI가 내놓은 코드를 "매우 신뢰한다"고 답한 비율은 소수에 그쳤다는 결과가 나와, 사용률과 신뢰도 사이에 뚜렷한 격차가 있음을 보여줍니다.

Stanford 연구진(Perry 외, 2023)은 AI 코딩 어시스턴트 사용자가 그렇지 않은 그룹보다 보안 취약점이 있는 코드를 더 많이 작성하면서도, 자신의 코드가 더 안전하다고 착각하는 경향을 발견했습니다.

생성 속도는 빨라졌는데 검증 습관은 따라가지 못하는 간극, 이게 지금 업계가 마주한 진짜 문제입니다.

AI 코드 리뷰, 무엇이 다른가

사람이 쓴 코드와 AI가 생성한 코드는 실패하는 방식이 다릅니다. 사람은 로직을 틀리지만, AI는 그럴듯하게 틀립니다. 존재하지 않는 라이브러리 함수를 호출하는 "환각(hallucination)", 오래된 패턴을 재생산하는 문제, 컨텍스트를 놓쳐 엣지 케이스를 빠뜨리는 경우가 대표적입니다. 문법 오류는 컴파일러가 잡아주지만, "동작은 하는데 틀린 코드"는 사람의 눈이 아니면 못 잡습니다. 그래서 리뷰의 초점도 바뀌어야 합니다. 문법 교정이 아니라 의도와 실제 동작의 일치 여부, 보안·성능 트레이드오프, 테스트 커버리지를 확인하는 방향으로요.

현장의 변화

GitHub는 Copilot Enterprise에 PR 요약, 리뷰 코멘트 초안 작성 같은 기능을 추가하며 AI가 리뷰 과정을 보조하는 방향으로 기능을 확장 중입니다. 다만 최종 승인·병합 여부는 여전히 사람이 결정하는 구조를 유지하고 있습니다. 이런 흐름은 GitHub에 국한되지 않습니다. 오래전부터 코드 리뷰 문화를 정착시켜 온 Google의 「Code Review Developer Guide」처럼, 리뷰어의 이해와 승인 없이는 코드를 병합하지 않는다는 원칙 자체는 업계에 이미 폭넓게 자리 잡고 있으며, AI가 작성한 코드도 이 원칙에서 예외가 되지는 않는다는 공감대가 커지고 있습니다. 교육 현장에서도 코드를 처음부터 짜는 능력만큼, 남이(혹은 AI가) 짠 코드를 읽고 문제를 짚어내는 능력을 다루려는 시도가 점차 늘어나는 분위기입니다.

시사점: 우리가 갖춰야 할 것

• AI가 생성한 코드도 예외 없이 PR 리뷰 프로세스에 태우는 습관을 들이세요.
• 문법이 아니라 로직·보안·의존성 버전을 중심으로 읽는 리뷰 체크리스트를 만드세요.
• 테스트 코드를 먼저 짜고 AI 코드를 검증하는 순서를 습관화하세요.
• "이 코드 왜 이렇게 짰어?"라고 AI에게 되묻고 근거를 확인하는 습관을 들이세요.
• 리뷰 코멘트를 명확한 문장으로 남기는 커뮤니케이션 역량을 함께 기르세요.

맺음말

AI는 코드를 빠르게 짤 뿐, 그 코드가 맞는지 책임지지 않습니다. 결국 신뢰는 리뷰하는 사람의 눈에서 나옵니다. 다음에 AI가 짜준 코드를 받으면, 곧바로 병합하지 말고 한 번 더 물어보세요. "이거, 정말 맞아?"

참고 자료

• Stack Overflow, 「2024 Developer Survey」
• Perry, N. et al., 「Do Users Write More Insecure Code with AI Assistants?」, Stanford University, 2023
• GitHub, 「GitHub Copilot Enterprise 공식 문서 및 릴리스 노트」
• Google Engineering Practices, 「Code Review Developer Guide」

테크창 연구팀 | 인천대학교 창의인재개발학과 전공심화연구모임