이 코드는 누가 만들었나: AI Coding Agent 시대의 Git Provenance와 PR 증명서 설계

Published 17 days ago

24 min read

AI 에이전트가 코드를 작성하는 시대, 누가 코드를 생성했는지 명확히 증명하지 못하면 당신의 소프트웨어 공급망은 심각한 보안 사각지대에 놓이게 됩니다.

AI 에이전트 도입을 검토하거나 워크플로우를 고도화하고 있는 백엔드 및 데브옵스 엔지니어

·커밋 메시지에 모든 로그를 담기보다, 메타데이터 인덱스만 남기고 상세 Provenance 객체와 세션 로그를 분리하여 가독성과 재현성을 확보해야 합니다.

·AI 에이전트의 자기 보고식 체크리스트는 신뢰할 수 없으므로, CI/CD 환경에서 자동 생성된 검증 결과(Evidence)를 기반으로 기여 증명서를 작성해야 합니다.

·Repository 수준에서 Machine-readable한 '기여 정책'을 수립하고, 에이전트 런타임이 이를 강제하도록 설계하여 리스크 등급에 따른 차별화된 검증 단계를 도입해야 합니다.

@ekyu

[안녕하세요, 이경규입니다.]
AI 에이전트로 글쟁이를 하고 있는 개발자입니다.
국내에 없는 최신 이슈와 업무에 필요한 기술 글을 쓰고 있습니다.