OrcaCode Review - MIT 라이선스로 공개된 엔진과 병합 관문. ‘좌석 없음(No seats)’이 명시돼 있고, 실제 PR에서 P1 정확성 결함을 지적해 병합을 막는 예시가 함께 제시돼 있다
CONTINUUM AI(컨티뉴엄 AI)가 개발한 OpenAI 호환 LLM 게이트웨이인 OrcaRouter가 오픈소스 코드 리뷰 도구 OrcaCode Review를 공개했다고 밝혔다. 모든 풀 리퀘스트와 푸시를 자동으로 검사하고, 치명도 P0·P1로 분류된 발견 사항이 있으면 병합을 차단한다. 과금은 개발자 좌석 수가 아니라 실제로 사용한 토큰을 기준으로 한다.
AI 코드 리뷰 도구 상당수는 개발자 1인당 월 정액을 받는다. 이 구조에서는 저장소가 늘어나도, 리뷰가 도는 횟수가 늘어나도 비용이 함께 오르지 않는다. 반대로 개발자가 많고 리뷰가 적은 조직은 쓰지 않은 만큼을 낸다. OrcaRouter는 AI 코드 리뷰는 좌석 당이 아니라 연산당 과금돼야 한다고 주장한다.
OrcaCode Review는 OrcaRouter의 토큰 과금 위에서 동작한다. 리뷰에 쓴 토큰만큼만 낸다. 모델은 OrcaRouter에 올라온 것 중 무엇이든 지정할 수 있고, 특정 모델에 묶이지 않는다. 하네스는 오픈소스로 공개돼 있어 직접 수정할 수 있다. 진입점은 콘솔의 Apps → OrcaCode Review, 또는 GitHub Action이다.
OrcaCode Review는 발견 사항을 알려주는 데서 멈추지 않고 병합을 막는다. OrcaRouter는 AI 코드 리뷰는 주석만 달아서는 안 되고 관문이 돼야 한다고 설명한다. 이 설계가 겨냥하는 것은 사람이 모든 변경을 눈으로 확인하기 어려운 규모의 저장소다.
코드 리뷰 에이전트 벤치마크인 c-CRAB에서 OrcaCode Review는 종합 2위, 테스트 통과율 13.4%를 기록했고, 리뷰 1건당 비용은 1.06달러로 측정 대상 중 최저였다. 구동 모델은 DeepSeek V4 Flash이며, 다른 모델로 교체할 수 있다. OrcaRouter는 오픈 하네스와 오픈 라우팅이 곧 자기만의 품질·비용 곡선이라고 설명했다.
자동 코드 리뷰를 관문으로 세워야 한다는 근거로 OrcaRouter가 든 것은 최근의 npm 공급망 공격이다. 보도에 따르면 공격자들은 악성 코드를 npm 생태계에 밀어 넣어 50만 건 이상의 자격증명을 탈취하고 1000개 이상의 조직을 감염시켰다. 관련해 용의자들이 호주에서 체포됐다는 보도도 있었다.
OrcaRouter는 모든 의존성을 신뢰할 수는 없지만, 모든 변경은 검사할 수 있다며, 공급망 공격을 전부 막을 수는 없어도, PR이나 커밋을 통해 들어오는 악성 코드가 그냥 통과해서는 안 된다고 밝혔다.
