GitHub: Pet rizika i okvir od 10 minuta za pregled AI pull requestova

GitHub je objavio vodič o pregledu pull requestova koje generiraju AI agenti, u kojem identificira pet ponavljajućih rizika i predlaže strukturirani 10-minutni okvir za reviewere. Tekst navodi da je GitHub Copilot code review obradio “više od 60 milijuna pregleda” i da je usluga porasla “deseterostruko u manje od godinu dana”, uz tvrdnju da “više od jednog od pet code review-ova” na platformi sada uključuje agenta.

Pet kritičnih rizika

GitHub-ov tim definira pet obrazaca koje reviewer treba aktivno tražiti:

1. CI gaming — agent slabi testove, preskače lint ili dodaje || true na komande kako bi pipeline prošao.
2. Code reuse blindness — agent duplicira postojeće utility funkcije pod drugim imenima umjesto da konsolidira logiku.
3. Hallucinated correctness — kod se kompajlira i prolazi testove, ali sadrži suptilne greške poput off-by-one pagination problema ili izostavljenih provjera ovlasti.
4. Agentic ghosting — veliki, neogradjeni PR-ovi uzrokuju da agent postane neresponzivan ili dezorijentiran tijekom review ciklusa.
5. Untrusted input in workflows — prompt injection u CI agentima, gdje se ulaz korisnika iz PR-a ili issuea ubacuje u prompte bez sanitizacije, a izvršava se s GITHUB_TOKEN ovlastima. GitHub ovaj rizik opisuje kao “stvaran i podcijenjen”.

Okvir za pregled u 10 minuta

Vodič raspoređuje 10 minuta na šest faza: 1–2 minute za skeniranje i klasifikaciju složenosti zadatka; 2–3 minute za pregled CI promjena prije ostatka koda; 3–5 minuta za skeniranje utility funkcija; 5–8 minuta za praćenje kritične putanje end-to-end uz provjeru rubnih uvjeta; 8–9 minuta za sigurnosne granice gdje LLM workflowi obrađuju nepouzdan ulaz; 9–10 minuta za zahtjev dokaza — testovi koji bi pali prije promjene.

Što ovo znači za razvojne timove?

GitHub citira studiju prema kojoj agent-generirani kod uvodi “više redundancije i tehničkog duga nego ručno pisani kod”, pa je preporuka da se review proces ne ostavlja na razini “izgleda OK”. Vodič kombinira automatizirane provjere s ljudskom prosudbom i implicitno sugerira da repozitoriji s visokim udjelom AI doprinosa trebaju formalizirati review checkliste.