1장 AI가 코드를 썼다는 사실은 새로운 신뢰 경계다
사람이 직접 입력했든 AI가 생성했든 code review 기준은 같아야 한다. 하지만 AI는 그럴듯한 package 이름, 존재하지 않는 option, 오래된 API를 자신 있게 제안할 수 있고, 한 번에 넓은 범위를 바꾼다. 속도가 빨라진 만큼 검증되지 않은 변화가 쌓이는 속도도 빨라진다.
AI 생성 code를 별도 낙인처럼 취급하지 않는다. 대신 모든 변화에 같은 증거를 요구한다.
| 질문 | 필요한 증거 |
|---|---|
| 왜 바꿨나 | issue·acceptance criteria·decision log |
| 무엇이 바뀌었나 | diff·dependency review·generated files |
| 동작하나 | test·reproduction·expected output |
| 안전한가 | SAST·secret·dependency·license policy |
| 무엇을 배포하나 | immutable digest·SBOM |
| 어디서 만들었나 | signed provenance·builder identity |
AI 대화 기록 전체를 공급망 증거로 보관할 필요는 없다. 민감한 prompt가 섞일 수 있고 model UI export는 재현 가능한 build instruction이 아니다. repository에는 승인된 spec, source, lockfile, test, build workflow를 정본으로 둔다.