AI가 고친 코드를 다시 검사한다: NUS 연구에서 출발한 SonarQube Remediation Agent

SonarQube Remediation Agent는 AI가 코드를 마음대로 다시 쓰도록 맡기는 도구가 아니다. SonarQube Cloud가 먼저 찾아낸 코드 문제를 입력으로 받아 수정 후보를 만들고, 이를 격리된 샌드박스에 적용한 뒤 Sonar의 분석 엔진으로 다시 검사한다. 원래 문제가 해결됐는지, 수정 과정에서 새로운 문제가 생기지 않았는지 확인한 뒤에야 개발자에게 변경 사항이나 풀 리퀘스트로 제안한다.

AI 코딩 도구가 개발 속도를 끌어올리는 동시에 검토해야 할 코드의 양도 늘리는 상황에서, 이 제품이 내세우는 핵심은 ‘AI가 고친 코드도 자동으로 믿지 않는다’는 원칙이다.

SonarQube Remediation Agent는 어떻게 작동하나

이 에이전트는 풀 리퀘스트에서 발견된 문제와 프로젝트에 누적된 기존 코드 백로그를 대상으로 한다. Sonar 문서에 따르면 대상에는 유지보수성, 신뢰성, 보안 관련 이슈가 포함되며, 소프트웨어 구성 분석(SCA)으로 발견된 일부 서드파티 의존성 취약점도 해당한다.

작동 과정은 다음과 같다.

1. SonarQube 분석이 코드 문제를 식별한다.
2. 에이전트가 가능한 수정안을 생성한다.
3. 수정안을 격리된 샌드박스에 적용한다.
4. Sonar 분석 엔진이 원래 문제가 해결됐는지, 새 문제가 추가되지 않았는지 확인한다.
5. 검증에 실패한 수정안은 폐기하거나 다시 시도하고, 통과한 제안만 개발자 검토용 변경 사항 또는 풀 리퀘스트로 제공한다.

현재 제품 자료에는 Java, JavaScript, TypeScript, Python이 지원 언어로 제시돼 있다. 통합은 SonarQube Cloud와 코드 호스팅 환경을 중심으로 이뤄지며, 문서상 GitHub 또는 Azure DevOps에 연결된 프로젝트에서 사용할 수 있다. 다만 풀 리퀘스트 수정 기능은 GitHub에 연결된 프로젝트에서 제공된다.

범용 코딩 어시스턴트와의 차이는 단순히 코드를 생성한다는 데 있지 않다. 이 에이전트는 SonarQube가 이미 발견한 실제 문제에서 출발하고, 개발자가 수정안을 보기 전에 같은 분석 기준으로 해결 여부를 확인한다.

NUS의 연구가 상용 제품이 되기까지

기술의 출발점은 싱가포르국립대학교(NUS) 컴퓨팅학부의 Trustworthy and Secure Software 연구 그룹에서 Abhik Roychoudhury 교수와 연구팀이 개발한 AutoCodeRover다. AutoCodeRover는 대규모 언어 모델(LLM)과 코드 검색 기술을 결합해 디버깅, 이슈 수정, 리팩터링 같은 소프트웨어 엔지니어링 작업을 자동화하는 자율형 AI 에이전트 플랫폼이었다.

Sonar는 2025년 2월 AutoCodeRover 스핀오프 기술을 인수했다. 이후 이 기술을 기존 코드 품질·보안 플랫폼에 맞는 에이전트형 프로그램 수정 기능으로 발전시켰고, 그 결과물이 SonarQube Remediation Agent다.

연구 성과와 상용 환경의 신뢰성이 같은 의미는 아니라는 점도 중요하다. NUS Computing은 AutoCodeRover가 실제 소프트웨어 이슈를 해결하는 벤치마크인 SWE-bench에서 상위 3개 시스템 가운데 하나로 평가됐다고 밝혔다. 이는 연구 단계의 역량을 보여주는 지표지만, 모든 운영 환경의 문제를 성공적으로 수정한다는 보장은 아니다.

싱가포르에서 개발·시험한 뒤 글로벌 출시

이 에이전트는 싱가포르 엔지니어들과 싱가포르 정보통신미디어개발청(IMDA)의 협력 아래 개발·시험됐다. Sonar는 2026년 5월 싱가포르에서 열린 ATxSummit 2026에서 SonarQube Remediation Agent를 글로벌 출시했다고 발표했다.

싱가포르에서의 과정은 이 제품의 배경을 세 축으로 보여준다. NUS 연구진이 자동 프로그램 수정 기술을 개발했고, Sonar가 이를 기업용 코드 검증 흐름에 통합했으며, IMDA와의 협력은 AI가 생성한 소프트웨어를 책임 있게 도입하는 환경에서 기술을 시험하는 역할을 했다.

AI 생성 코드 시대에 자동 수정이 필요한 이유

AI 코딩 도구는 더 많은 소프트웨어를 더 빠르게 만들어낼 수 있다. 하지만 생산 속도가 빨라지면 검토·유지보수해야 할 코드와 잠재적 결함도 함께 늘어날 수 있다. 이런 문제는 AI가 작성한 코드에만 국한되지 않는다. 사람이 작성한 코드 역시 신뢰성, 유지보수성, 보안 취약점을 포함할 수 있다.

SonarQube Remediation Agent는 두 종류의 코드 모두를 대상으로 한다. SonarQube의 분석 결과를 바탕으로 사람이 작성한 코드나 AI가 생성한 코드의 수정안을 제안하고, 최종 수용 여부는 개발자가 결정한다.

이 ‘사람이 개입하는 구조’는 기업 환경에서 특히 중요하다. 검증된 제안은 반복적인 디버깅과 누적된 기술 부채를 처리하는 데 드는 시간을 줄일 수 있다. 그러나 검증 범위는 SonarQube가 탐지할 수 있는 문제, 지원 언어와 통합 환경, 그리고 저장소의 테스트·코드 리뷰 품질에 의해 제한된다.

보안과 운영 위험을 어디까지 줄일 수 있나

제품의 사업적 가치는 방어적 측면에서도 나온다. AI로 소프트웨어를 만드는 속도가 빨라질수록 기업은 수작업 검토량을 같은 비율로 늘리지 않고도 결함과 보안 약점을 찾아야 한다. 싱가포르 현지 보도는 이 에이전트를 AI 생성 코드와 관련된 사이버보안 및 운영 위험에 대응하는 수단으로 소개했다. 코드 결함이 서비스 장애로 이어질 가능성도 그 위험에 포함된다.

다만 이 도구가 소프트웨어 보안을 포괄적으로 보증하는 것은 아니다. 모델은 보다 제한적이고 실무적인 방식이다. 정의된 문제를 탐지하고, 수정안을 생성하고, 독립적으로 다시 분석한 뒤, 최종 결정은 개발자에게 남긴다. 문제 발견부터 수정안 제시까지의 시간을 단축할 수는 있지만 테스트, 코드 리뷰, 보안 통제와 거버넌스를 대체하지는 않는다.

Sonar는 에이전트가 검증된 SonarQube 발견 항목에만 작동하며, 대상 이슈에서 오탐률이 3.2%였다고 밝혔다. 이는 Sonar가 제시한 제품 지표이므로 모든 저장소에서의 정확성을 독립적으로 보증하는 수치라기보다, 회사가 설명한 운영 방식에 관한 성과 자료로 해석해야 한다.

규모와 시장에서의 위치

Sonar는 자사 플랫폼이 매일 7,500억 줄의 코드를 분석하고 700만 명이 넘는 개발자에게 서비스를 제공한다고 밝혔다. Fortune 100 기업의 75%가 포함된다는 설명도 덧붙였다. 이는 Sonar 전체 플랫폼에 관한 회사 발표 수치이며, Remediation Agent 자체의 수정 건수를 의미하지는 않는다.

Sonar는 이 제품을 AI 보조 개발을 위한 코드 검증·수정 계층으로 포지셔닝한다. 주된 역할이 코드 생성인 도구와 달리, Remediation Agent는 탐지된 문제에서 출발해 수정안을 검증한 다음 개발자에게 보여준다.

개발팀이 실제로 확인해야 할 것

SonarQube Remediation Agent의 핵심 약속은 다음과 같이 요약할 수 있다.

AI가 검증된 문제의 수정안을 제안하고, 개발자가 수용하기 전에 분석 시스템이 그 수정안을 다시 확인한다.

도입을 검토하는 팀이라면 다음 질문부터 확인할 필요가 있다.

• 프로젝트에서 사용하는 언어와 저장소 연동 환경을 지원하는가?
• SonarQube에서 발견되는 문제가 충분히 구체적이어야 유용한 수정안을 만들 수 있는가?
• 개발자가 생성된 풀 리퀘스트를 검토하고 정적 분석을 넘어 실제 동작까지 테스트할 수 있는가?
• 보안, 의존성, AI 생성 변경 사항을 관리할 별도 통제 체계가 있는가?

NUS 연구에서 Sonar의 상용 개발 도구로 이어진 과정은 자동 프로그램 수정 연구가 실제 개발 워크플로에 편입되는 경로를 보여준다. 다만 최종적인 가치는 코드를 생성하는 기술의 신선함보다 어떤 문제를 정확히 발견하는지, 검증 루프가 얼마나 안정적으로 작동하는지, 그리고 결과를 검토하는 사람이 얼마나 엄격한지에 달려 있다.