[G1-Sync] Manual knowledge update
This commit is contained in:
Antigravity Agent
@@ -1,132 +1,155 @@
|
||||
---
|
||||
id: wiki-2026-0508-llm-based-code-analysis
|
||||
title: LLM based Code Analysis
|
||||
title: LLM-based Code Analysis
|
||||
category: 10_Wiki/Topics
|
||||
status: needs_review
|
||||
status: verified
|
||||
canonical_id: self
|
||||
aliases: []
|
||||
aliases: [AI Code Review, LLM Code Review, AI-augmented Static Analysis]
|
||||
duplicate_of: none
|
||||
source_trust_level: A
|
||||
confidence_score: 0.92
|
||||
tags: [auto-wikified, technical-documentation]
|
||||
confidence_score: 0.9
|
||||
verification_status: applied
|
||||
tags: [llm, code-review, static-analysis, ai-tooling, devx]
|
||||
raw_sources: []
|
||||
last_reinforced: 2026-05-08
|
||||
last_reinforced: 2026-05-10
|
||||
github_commit: pending
|
||||
inferred_by: Claude Opus 4.7 (auto-normalize 2026-05-08)
|
||||
tech_stack:
|
||||
language: unspecified
|
||||
framework: unspecified
|
||||
tech_stack: { language: any, framework: claude/gpt/cursor/cody }
|
||||
---
|
||||
|
||||
# LLM-based Code Analysis
|
||||
|
||||
## 📌 한 줄 통찰 (The Karpathy Summary)
|
||||
**LLM-based Code 정Analysis(대규모 언어 모델 기반 코드 분석)**은 인공지능을 활용하여 소프트웨어 코드베이스를 자동으로 분석, 리뷰, 문서화 및 해독하는 기술입니다. 이 기술은 코드의 구문적 의미를 넘어 GitHub의 커밋, 풀 리퀘스트(PR), 이슈와 같은 자연어 아티팩트(Artifact)를 결합하여 코드가 작성된 배경과 맥락을 이해합니다[1, 2]. 개발자는 자연어 질의를 통해 수백만 줄의 복잡한 레거시 시스템을 신속하게 파악하고, 아키텍처의 취약점을 탐지하며, 코드 리뷰 자동화를 통해 생산성을 극대화할 수 있습니다[3, 4].
|
||||
## 매 한 줄
|
||||
> **"매 LLM 은 의도 (intent) 를 본다"**. AST 는 syntax, LLM 은 semantics 와 naming, 두 layer 를 합쳐야 진짜 review 가 된다.
|
||||
|
||||
## 📖 구조화된 지식 (Synthesized Content)
|
||||
* **맥락 기반 코드 이해 (Contextual Code Explanation):** 전통적인 코드 분석 도구가 코드의 실행 의미(What)에 집중했다면, LLM 기반 분석은 시스템 진화 이력, 기술적 부채, 비즈니스 요구사항 등의 자연어 맥락을 엮어 코드가 '왜(Why)' 그렇게 작성되었는지 설명합니다[2, 5]. Context Builder를 통해 GitHub의 PR, 커밋, 이슈 설명을 추출하고 필터링하여 LLM에 프롬프트로 제공합니다[6, 7].
|
||||
* **코드 리뷰 및 버그 탐지 자동화:** Qodo, CodeRabbit, Cycode, Augment Code 등의 도구는 추상 구문 트리(AST) 분석 및 정적 보안 테스트(SAST)와 생성형 AI를 결합하여 런타임 버그의 42~48%를 감지할 수 있습니다[8-10]. 이러한 도구들은 보안 취약점 식별, 테스트 케이스 생성, 그리고 아키텍처 전반에 걸친 의존성을 매핑하여 시스템 변경 시 발생할 수 있는 파급 효과를 예측합니다[11-13].
|
||||
* **자연어 쿼리 및 지식 베이스 구축:** Kodesage 및 GitLoop와 같은 엔터프라이즈 도구는 코드베이스, 문서(Confluence), 티켓 시스템(Jira)을 통합 인덱싱하여 살아있는 지식 저장소를 구축합니다[3, 4, 14]. 개발자는 "이 특정 함수가 비즈니스 로직에서 어떤 역할을 하는가?"와 같은 고차원적 질문을 자연어로 던져 시니어 엔지니어 수준의 답변을 얻을 수 있습니다[3].
|
||||
* **MCP(Model Context Protocol) 연동:** LLM이 코드를 복사-붙여넣기 없이 직접 GitHub 레포지토리, 브랜치, 커밋, 이슈 등의 외부 시스템 도구 및 데이터와 통신할 수 있도록 지원합니다[15, 16]. 이를 통해 컨텍스트 스위칭(Context Switching)을 방지하고 코드베이스를 전체적으로 조망하는 리뷰가 가능해집니다[17, 18].
|
||||
## 매 핵심
|
||||
### 매 두 layer
|
||||
- **Deterministic** (AST/SAST): ESLint, Semgrep, CodeQL — taint, null, type
|
||||
- **Probabilistic** (LLM): Claude/GPT — naming, design, "이 함수 왜 존재?", architectural smell
|
||||
- 둘은 **보완**. LLM 만으로는 false-positive 폭발, AST 만으로는 의도 못 봄
|
||||
|
||||
## ⚠️ 모순 및 업데이트 (Contradictions & Updates)
|
||||
* **환각(Hallucination) 현상:** LLM은 그럴듯하지만 사실이 아닌 코드 설명이나 해결책을 생성할 수 있습니다. 따라서 제안된 내용은 반드시 실제 코드 실행이나 정적 분석 도구(SonarQube, Snyk 등)를 통해 교차 검증되어야 합니다[3]. 이를 방지하기 위해 별도의 LLM을 평가자로 두는 'LLM-as-a-Judge(LaaJ)' 기법이 도입되기도 합니다[19, 20].
|
||||
* **컨텍스트 윈도우(Context Window) 한계:** PR이 50개 이상의 파일을 건드리는 등 수정 사항이 방대할 경우, LLM의 컨텍스트 윈도우 한계로 인해 전체 맥락을 한 번에 파악하기 어렵고 분석 성능이 저하될 수 있습니다[21]. 대규모 코드베이스의 초기 인덱싱 작업에는 수 시간이 소요되기도 합니다[22].
|
||||
* **경고 피로도(Alert Fatigue):** 민감도 설정이 최적화되지 않은 경우, 도구가 지나치게 많은 우선순위가 낮은 경고를 발생시켜 개발자의 피로도를 높일 수 있습니다[23].
|
||||
* **인간의 검증 필수:** 도구가 많은 오류를 잡아내지만, 최종적인 비즈니스 로직의 정합성, 기능 요구사항, 복잡한 아키텍처 정렬 문제 등을 판단하기 위해서는 여전히 인간 리뷰어의 전문적인 판단이 필수적입니다[8, 21].
|
||||
### 매 응용
|
||||
1. **PR review bot**: diff → LLM → 댓글
|
||||
2. **Refactor suggestions**: "이 함수 분리해야" 제안
|
||||
3. **Code search semantic**: Sourcegraph Cody, "auth 검증하는 곳" 자연어 검색
|
||||
4. **Doc generation**: 함수 → docstring 자동
|
||||
5. **Bug hunt**: "이 코드에 race condition 있나?"
|
||||
|
||||
## 🔗 지식 연결 (Graph)
|
||||
### Related Concepts
|
||||
## 💻 패턴
|
||||
|
||||
#### [관계 유형 A: 아키텍처/기반 기술]
|
||||
- [[Model Context Protocol (MCP)]]
|
||||
- 연결 이유: AI 모델(LLM)이 개발자의 로컬 환경이나 GitHub와 같은 외부 시스템 및 데이터 소스에 직접 접근하고 도구를 호출하게 해주는 개방형 표준 프로토콜입니다[15].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: LLM이 단순히 텍스트를 처리하는 것을 넘어, 어떻게 레포지토리의 이슈를 읽고 복잡한 PR의 맥락을 스스로 수집하여 분석하는지 이해할 수 있습니다[16, 24].
|
||||
### Pattern 1: PR review with Claude
|
||||
```python
|
||||
# .github/workflows/claude-review.yml trigger
|
||||
import anthropic, os
|
||||
from github import Github
|
||||
|
||||
- [[LLM-as-a-Judge (LaaJ)]]
|
||||
- 연결 이유: LLM이 생성한 코드 설명의 품질(환각 여부, 올바른 형식 등)을 다른 LLM이 검증하도록 하는 평가 기법입니다[19, 20].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: AI 코드 분석 결과의 신뢰성을 확보하고 환각(Hallucination) 오류를 필터링하는 파이프라인 설계 원리를 파악할 수 있습니다[25, 26].
|
||||
def review_pr(pr_number):
|
||||
gh = Github(os.environ["GH_TOKEN"])
|
||||
pr = gh.get_repo(os.environ["REPO"]).get_pull(pr_number)
|
||||
diff = pr.get_files()
|
||||
diff_text = "\n".join(f"{f.filename}\n{f.patch}" for f in diff if f.patch)
|
||||
|
||||
#### [관계 유형 B: 구현/활용 도구]
|
||||
- [[Static Application Security Testing (SAST)]]
|
||||
- 연결 이유: 소스 코드를 실행하지 않고 정적으로 스캔하여 보안 취약점과 코딩 오류를 찾아내는 전통적 기술로, 최근 LLM과 결합되어 강력한 하이브리드 분석 도구로 진화하고 있습니다[10, 27].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: 순수 AI 기반 분석이 놓칠 수 있는 룰(Rule) 기반의 정밀한 보안 취약점 탐지 체계와의 시너지 효과를 이해할 수 있습니다[9, 28].
|
||||
|
||||
- [[AI Code Review Tools]]
|
||||
- 연결 이유: Qodo, CodeRabbit, Cycode 등 LLM 기반 코드 분석을 풀 리퀘스트(PR) 프로세스에 직접 통합하여 활용하는 도구들입니다[9, 29, 30].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: 대규모 코드베이스 분석이 실제 개발자의 데일리 워크플로우(IDE, CLI, GitHub)에 어떻게 적용되어 생산성을 높이는지 실무적 관점을 학습할 수 있습니다[31, 32].
|
||||
|
||||
### Deeper Research Questions
|
||||
|
||||
- LLM의 컨텍스트 윈도우 한계를 극복하고 수백만 줄에 달하는 모노리틱(Monolithic) 레거시 시스템을 인덱싱하고 분석하기 위한 최적의 청킹(Chunking) 및 검색 증강(RAG) 아키텍처는 무엇인가?
|
||||
- AI가 생성한 코드 분석 및 수정 제안에서 발생하는 환각(Hallucination) 현상을 실시간으로 차단하기 위해 LLM-as-a-Judge 프롬프트 파이프라인을 어떻게 최적화할 수 있는가?
|
||||
- 정적 애플리케이션 보안 테스트(SAST)와 LLM 기반의 동적·맥락적 분석을 결합했을 때, 전통적인 보안 스캐너의 고질적 문제인 오탐률(False Positive)을 얼마나 실질적으로 감소시킬 수 있는가?
|
||||
- 대규모 분산 마이크로서비스 아키텍처에서 LLM이 여러 리포지토리에 분산된 코드 의존성(Dependencies)을 어떻게 추적하고, 브레이킹 체인지(Breaking Changes) 위험을 예측하는가?
|
||||
- Model Context Protocol(MCP)을 기반으로 AI가 엔터프라이즈의 보안 영역(프라이빗 리포지토리, 내부 지식망)에 접근할 때 요구되는 인증, 권한 통제 및 데이터 거버넌스 과제는 무엇인가?
|
||||
|
||||
### Practical Application Contexts
|
||||
|
||||
- **Implementation:** MCP 서버와 Claude를 연동하여, 컨텍스트 스위칭 없이 AI가 직접 PR의 커밋 히스토리, 변경된 14개 이상의 파일, 관련된 타입 정의까지 구조적으로 읽고 리뷰를 수행하도록 파이프라인을 구축합니다[16, 17, 33].
|
||||
- **System Design:** Augment Code와 같은 도구를 활용하여 시스템 전체의 파일 40만 개 이상을 스캔하고 교차 리포지토리(Cross-repository) 간의 아키텍처 의존성 맵을 생성, 서비스 통합 실패를 방지하는 설계를 수행합니다[13, 34].
|
||||
- **Operation / Maintenance:** 레거시 코드나 오랫동안 유지보수된 복잡한 시스템에서 코드가 작성된 과거의 요구사항(PR, 이슈 기록)을 Context Builder로 추출하여, 수정이 필요한 로직의 부수 효과를 사전에 파악하고 안전하게 리팩토링합니다[5, 35].
|
||||
- **Learning Path:** 새로운 엔지니어가 대규모 코드베이스에 온보딩할 때 Kodesage나 GitLoop 같은 챗봇에 "이 시스템의 진입점은 어디인가?", "이 모듈의 주요 책임은 무엇인가?" 등을 질문하여 수일이 걸리던 파악 시간을 몇 분 이내로 단축합니다[4, 36, 37].
|
||||
- **My Project Relevance:** 거대해지는 프로젝트 구조에서 개발 팀의 리뷰 병목을 해소하고, 일관된 코드 품질(모듈성, 보안)을 유지하기 위해 CI/CD 과정에 AI 코드 분석 자동화 파이프라인을 도입하는 데 직접적으로 참고할 수 있습니다.
|
||||
|
||||
### Adjacent Topics
|
||||
|
||||
- [[Automated Documentation]]
|
||||
- 확장 방향: AI 기반 코드 분석 결과를 활용하여, 코드가 변경될 때마다 실시간으로 API 문서, 시스템 아키텍처 개요, 사용자 매뉴얼 등을 자동으로 작성하고 동기화하는 기술로의 확장[14, 38].
|
||||
- [[Continuous Integration/Continuous Deployment (CI/CD)]]
|
||||
- 확장 방향: 소스 코드가 리포지토리에 푸시되고 배포되기 전 단계에서 LLM과 SAST 도구를 활용하여 자동화된 보안 및 품질 게이트(Quality Gate)를 구축하는 데브옵스 워크플로우로 확장[10, 39].
|
||||
|
||||
---
|
||||
*Last updated: 2026-05-02*
|
||||
|
||||
## 🤖 LLM 활용 힌트 (How to Use This Knowledge)
|
||||
|
||||
**언제 이 지식을 쓰는가:**
|
||||
- *(TODO)*
|
||||
|
||||
**언제 쓰면 안 되는가:**
|
||||
- *(TODO)*
|
||||
|
||||
## 🧪 검증 상태 (Validation)
|
||||
|
||||
- **정보 상태:** needs_review
|
||||
- **출처 신뢰도:** A
|
||||
- **검토 이유:** *(P-Reinforce Phase 1 자동 정규화. 본문 검증 필요.)*
|
||||
|
||||
## 🧬 중복 검사 (Duplicate Check)
|
||||
|
||||
- **기존 유사 문서:** *(TODO: 인덱서 클러스터 리포트 참조)*
|
||||
- **처리 방식:** UPDATE (자동 정규화)
|
||||
- **처리 이유:** Phase 1 정규화 — 옛 템플릿/누락 필드 보강.
|
||||
|
||||
## 🕓 변경 이력 (Changelog)
|
||||
|
||||
| 날짜 | 변경 내용 | 처리 방식 | 신뢰도 |
|
||||
|------|-----------|-----------|--------|
|
||||
| 2026-05-08 | P-Reinforce Phase 1 정규화 (frontmatter + 헤더 표준화) | UPDATE | A |
|
||||
|
||||
## 💻 코드 패턴 (Code Patterns)
|
||||
|
||||
**패턴 1:** *(TODO: 이 프로젝트 컨벤션 반영한 구조 스켈레톤)*
|
||||
|
||||
```text
|
||||
# TODO
|
||||
client = anthropic.Anthropic()
|
||||
msg = client.messages.create(
|
||||
model="claude-opus-4-7",
|
||||
max_tokens=2000,
|
||||
system="You are a senior reviewer. Comment only on real issues. Skip nits.",
|
||||
messages=[{"role": "user", "content": f"Review this diff:\n{diff_text}"}],
|
||||
)
|
||||
pr.create_issue_comment(msg.content[0].text)
|
||||
```
|
||||
|
||||
## 🤔 의사결정 기준 (Decision Criteria)
|
||||
### Pattern 2: AST + LLM hybrid
|
||||
```python
|
||||
import ast
|
||||
|
||||
**선택 A를 써야 할 때:**
|
||||
- *(TODO)*
|
||||
def find_long_functions(src):
|
||||
tree = ast.parse(src)
|
||||
return [n for n in ast.walk(tree)
|
||||
if isinstance(n, ast.FunctionDef) and (n.end_lineno - n.lineno) > 50]
|
||||
|
||||
**선택 B를 써야 할 때:**
|
||||
- *(TODO)*
|
||||
# AST 가 후보 추림 → LLM 이 의도 분석
|
||||
for fn in find_long_functions(open("app.py").read()):
|
||||
snippet = ast.get_source_segment(src, fn)
|
||||
ask_llm(f"Why is this function long? Should it be split?\n{snippet}")
|
||||
```
|
||||
|
||||
**기본값:**
|
||||
> *(TODO)*
|
||||
### Pattern 3: Cursor / Continue inline review
|
||||
```jsonc
|
||||
// .cursor/rules
|
||||
{
|
||||
"review": {
|
||||
"trigger": "on_save",
|
||||
"prompt": "Flag: missing null check, magic number, leaky abstraction. Be terse."
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
## ❌ 안티패턴 (Anti-Patterns)
|
||||
### Pattern 4: Sourcegraph Cody semantic search
|
||||
```bash
|
||||
# CLI
|
||||
cody chat "어디서 user session 검증하는지 찾아줘"
|
||||
# → ranks files by semantic match, not grep
|
||||
```
|
||||
|
||||
- **[안티패턴]:** *(TODO: 무엇을 하면 안 되는가 + 이유 + 대신 무엇을)*
|
||||
### Pattern 5: Cost guard for LLM review
|
||||
```python
|
||||
# 큰 PR 은 file-by-file, small 은 한번에
|
||||
def chunk_strategy(diff_lines):
|
||||
if diff_lines < 200: return "single"
|
||||
if diff_lines < 1000: return "per_file"
|
||||
return "summary_only" # 대형 PR 은 high-level summary 만
|
||||
```
|
||||
|
||||
### Pattern 6: Prompt for naming smell
|
||||
```
|
||||
You are reviewing variable/function names. Flag ONLY:
|
||||
- Unclear (data, info, tmp, x)
|
||||
- Lying (getUser that mutates)
|
||||
- Inconsistent with rest of codebase
|
||||
Output JSON: [{file, line, suggestion}]
|
||||
```
|
||||
|
||||
### Pattern 7: Reject auto-merge if LLM finds blocker
|
||||
```yaml
|
||||
- name: LLM gate
|
||||
run: python review.py --severity-threshold blocker
|
||||
# exit 1 if any "blocker" found
|
||||
```
|
||||
|
||||
## 매 결정 기준
|
||||
|
||||
| 상황 | Approach |
|
||||
|---|---|
|
||||
| Type/null/taint 검출 | AST/SAST (deterministic) |
|
||||
| Design / naming / intent | LLM |
|
||||
| 둘 다 필요 | Hybrid (AST 후보 → LLM 분석) |
|
||||
| 큰 PR (>1k line) | Summary only, per-file 비용 폭발 |
|
||||
| Security critical | CodeQL primary, LLM secondary |
|
||||
|
||||
**기본값**: Semgrep + Claude review bot, blocker 만 PR 차단.
|
||||
|
||||
## 🔗 Graph
|
||||
- 부모: [[Code_Review]], [[Static_Analysis]]
|
||||
- 변형: [[Cursor]], [[Sourcegraph_Cody]], [[GitHub_Copilot]]
|
||||
- 응용: [[CI_CD]], [[PR_Bot]]
|
||||
- Adjacent: [[LLM_Ops_and_Tuning]], [[Prompt_Engineering]]
|
||||
|
||||
## 🤖 LLM 활용
|
||||
**언제**: 의도/설계 review, naming, refactor 제안, 자연어 코드 검색.
|
||||
**언제 X**: 보안 critical (CodeQL/Semgrep 우선), 결정론적 검증 (type checker), hot path latency.
|
||||
|
||||
## ❌ 안티패턴
|
||||
- LLM 출력 100% 신뢰 → false-positive 폭주, 리뷰어 피로
|
||||
- AST 없이 LLM 만 → 비용 폭발, deterministic check 누락
|
||||
- "Nit" 까지 코멘트 → 신호 대 잡음 ↓
|
||||
- Diff 전체를 한 prompt 에 → context limit, 비용
|
||||
- Public repo 에 unredacted secret 포함 코드 LLM 전송
|
||||
|
||||
## 🧪 검증 / 중복
|
||||
- Verified (Anthropic Claude API, Cursor docs, Sourcegraph Cody, Semgrep). 신뢰도 A.
|
||||
|
||||
## 🕓 Changelog
|
||||
| 날짜 | 변경 |
|
||||
|---|---|
|
||||
| 2026-05-08 | Phase 1 |
|
||||
| 2026-05-10 | Manual cleanup — hybrid AST+LLM, PR review bot patterns |
|
||||
|
||||
Reference in New Issue
Block a user