별 5만개 넘은 알리바바($BABA) 코드리뷰, 솔리디티 규칙 지원

알리바바($BABA·Alibaba)의 AI 코드 검토 도구 OpenCodeReview가 GitHub에서 별 5만개 이상을 기록했다. 공식 규칙 목록에는 가상자산 스마트컨트랙트 언어인 솔리디티와 Vyper용 항목도 포함됐다.

14일 GitHub 저장소 화면에는 별 51.0k, 포크 3.8k가 표시됐다. 두 값은 반올림 수치여서 정확한 별 수나 최근 증가 폭을 보여주지는 않는다. 공개 저장소 라이선스는 Apache-2.0이다.

OpenCodeReview는 개발자가 변경한 코드와 기존 파일의 맥락을 함께 살펴 검토 의견을 만드는 명령줄 도구다. 정해진 절차로 파일을 고르고 규칙을 연결하면 대규모언어모델(LLM) 에이전트가 코드를 검토하고 댓글을 달 위치를 지정한다.

알리바바는 저장소에서 OpenCodeReview가 사내 AI 코드리뷰 보조 도구로 시작했다고 설명했다. 회사는 지난 2년간 수만 명의 개발자가 사용해 수백만 건의 결함을 찾았다고 밝혔다. 이 사용 실적은 회사가 제시한 수치다.

알리바바의 공식 규칙 문서는 확장자가 .sol인 파일을 솔리디티(Solidity) 스마트컨트랙트 규칙에, .vy 파일을 Vyper 규칙에 연결한다. Verilog·SystemVerilog와 VHDL 파일에 적용하는 규칙도 포함됐다.

이 규칙 목록은 해당 언어의 코드 검토를 지원한다는 뜻이며, 전문 스마트컨트랙트 보안 감사나 실제 칩 설계 검증 성능을 입증하지는 않는다.

알리바바 소속 연구자가 참여한 사전 공개 논문은 AACR-Bench로 OpenCodeReview v1.3.1을 평가했다. 벤치마크에는 오픈소스 저장소 50곳의 PR 200건, 언어 10종, 검토 주석 1505개가 포함됐다.

연구진은 6개 LLM 백엔드에서 도구를 평가했다. 논문은 비교 가능한 설정에서 OpenCodeReview가 클로드 코드(Claude Code)와 GPT-5.5 기반 Codex보다 높은 SEM-F1을 기록했다고 보고했다. Codex와의 비교는 GPT-5.5 설정에 한정됐다.

최고 SEM-F1은 25.10%였으며, 같은 조건에서 정밀도는 33.90%, 재현율은 20.00%였다. 연구진은 클로드 코드와 비교해 토큰 사용량이 5~15배 적었다고 밝혔다.

평가에서는 LLM 심사자가 검토 주석과 기존 정답의 의미상 일치 여부를 판정했다. 따라서 결과는 논문이 설정한 벤치마크와 평가 방식에 따른 수치다.

연구진은 평가 저장소가 산업별 코드베이스와 도메인 특화 언어를 모두 포괄하지 못할 수 있다고 적었다. SEM-F1도 댓글의 실행 가능성·명확성·심각도를 측정하지 않는다. 논문 결과를 스마트컨트랙트 감사 성능으로 일반화할 근거는 제시되지 않았다.

GitHub 사용자 사례 게시판에서 회사를 Wisk.aero로 적은 이용자는 개발자에게 제안을 보내는 CI 초기 시험(PoC)에 쓰고 있지만, 필수 통과 기준으로 삼기에는 기능이 부족하다고 썼다. KUKA Robotics를 회사로 적은 이용자도 PR 검토에 쓴다고 남겼다. 두 내용은 이용자의 자기 신고이며 회사 차원의 공식 도입 자료는 아니다.

11월 7일 GitHub 이슈에서 작성자는 OpenCodeReview v1.13.6을 GitHub Copilot API와 Claude 모델로 연결했을 때 첫 번째 choices 밖의 도구 호출이 누락됐다고 보고했다. 해당 이슈는 특정 연동 환경에 관한 사용자 제보다.

9월 10일 공개된 GitHub 보안 공지는 1.11.1 미만 버전의 rule.json 취약점을 설명했다. 공격자가 통제하는 저장소를 리뷰 호스트에서 실행하면 .md, .txt, .markdown 파일을 최대 512KB까지 읽어 설정된 LLM 제공자에게 보낼 수 있다고 밝혔다.

공지에서 위험 조건으로 지목한 사례는 자체 운영 파이프라인이 신뢰할 수 없는 브랜치를 체크아웃하는 경우다. 수정 버전은 1.11.1이다.