핵심 요약
- OpenQodex는 코딩 에이전트가 작성한 변경을 push 전에 별도의 Claude Code 또는 Codex 프로세스가 검토하게 하는 오픈소스 코드 리뷰 도구입니다. 리뷰 대상은 아직 push하지 않은 커밋과 커밋하지 않은 수정이고, 기본 설정에서는 코드를 쓴 에이전트가 리뷰를 맡지 않습니다. 정적 분석 스캐너를 먼저 실행하고, 리뷰어가 근거로 인용한 코드 줄은 스크립트가 실제 코드와 대조합니다.
- 리뷰어는 사용자의 Claude Code 또는 Codex 로그인으로 실행되므로 별도 계정이나 API 키가 필요 없습니다. 리뷰 요청은 Claude Code, Codex CLI, Cursor, Cline에서 모두 할 수 있지만, 리뷰어 역할은 Claude Code와 Codex만 맡을 수 있습니다.
- 개발사 Qodex가 버그를 일부러 심어 만든 자체 벤치마크(버그 51개, 3회 반복)에서 Claude Code 리뷰어는 빌드에 따라 버그의 84.3~98.0%를 찾았습니다. 실제 PR을 모은 AACR-Bench에서는 정답 이슈 가운데 한 줄 이내에 지적이 붙은 비율이 10.7~27.7%였습니다.
- macOS나 Linux와 Node 22 이상이 필요하고, 1.0 이전이라 명령과 설정 형식이 마이너 릴리스마다 바뀔 수 있습니다. 설치 명령
init은 Claude Code의 사용자 설정(~/.claude/아래)에 리뷰 스킬, 지시문, push 훅, 권한 규칙을 추가합니다. 자동 업데이트도 함께 켜집니다.
OpenQodex 소개
코딩 에이전트가 작성하는 코드의 양이 늘면서, 같은 에이전트에게 "방금 바꾼 것을 리뷰해 줘"라고 요청하는 일도 흔해졌습니다. 이 방식은 간편하지만, 코드를 쓴 세션이 같은 맥락과 가정을 그대로 가진 채 자기 결과물을 평가합니다. 리뷰 결과가 가리키는 파일과 줄 번호가 실제 코드와 맞는지, 변경된 줄을 빠짐없이 읽었는지도 사람이 다시 확인해야 합니다. 리뷰를 PR이 올라간 뒤 호스팅 리뷰 서비스에 맡기면, 문제는 이미 원격 저장소에 올라간 뒤에 드러납니다. 이번에 소개하는 OpenQodex는 이 검토를 push 직전, 개발자의 컴퓨터 안으로 옮기고, 리뷰어를 코드를 쓴 에이전트와 분리한 오픈소스 프로젝트입니다.
OpenQodex는 리뷰를 세 단계로 나눕니다. 먼저 변경된 파일에 맞는 스캐너(gitleaks, semgrep처럼 모델 없이 코드를 검사하는 프로그램)를 실행하고, 변경된 줄에 걸린 결과만 남깁니다. 다음으로 세션 기억이 없는 별도의 Claude Code 또는 Codex 프로세스를 띄웁니다. 이 가운데 찾기(finder) 세션은 변경 부분과 그 코드를 호출하는 코드를 함께 읽고 문제 후보를 근거 줄과 함께 제안합니다. 검증(verifier) 세션은 그 후보와 스캐너 결과를 하나씩 확인 또는 반박하며, 이 모든 과정을 스크립트가 검사합니다. 마지막으로 OpenQodex는 판정과 지적 목록을 담은 영수증(receipt)을 출력하고, 개발자가 어떤 지적을 고칠지 고릅니다.
OpenQodex는 TypeScript로 작성된 CLI로, npm 패키지 openqodex 하나에 런타임 의존성 없이 묶여 배포됩니다. 패키지에는 22종 내장 스캐너의 선택과 실행 로직, push 직전에 동작하는 훅이 들어 있습니다(스캐너 프로그램 자체는 sqllint를 빼면 처음 쓸 때 내려받습니다). 저장소의 호출 관계를 모델 없이 계산하는 코드 그래프와, 그 그래프를 에이전트에 제공하는 로컬 MCP(Model Context Protocol) 서버도 함께 들어 있습니다. 개발사 Qodex는 PR마다 API, UI, 보안 테스트를 실행하는 상용 서비스를 운영하는 회사입니다. Qodex는 이와 별도로 PR 리뷰와 호스팅 MCP 서버를 제공하는 Hosted OpenQodex도 운영합니다. 이 글에서 다루는 로컬 CLI는 계정 없이 쓸 수 있고, Hosted OpenQodex 전용 가격은 공개 페이지에서 확인되지 않습니다. OpenQodex 홈페이지는 *"Nothing that is open today becomes paid later."*라고 적어, 지금 공개된 기능을 나중에 유료로 돌리지 않겠다고 밝히고 있습니다.
OpenQodex vs. Claude Code의 /code-review
OpenQodex 홈페이지 FAQ의 첫 질문은 Claude Code에 내장된 리뷰와 무엇이 다른가입니다. Claude Code의 /code-review는 현재 diff나 PR 번호, 브랜치, 경로를 받아 정확성 버그를 검토하는 내장 스킬입니다. 두 방식을 문서 기준으로 정리하면 다음과 같습니다:
| 항목 | OpenQodex | Claude Code /code-review |
|---|---|---|
| 리뷰어 | 세션 기억이 없는 별도 Claude Code 또는 Codex 프로세스 | Claude Code에서 부르는 내장 스킬 |
| 리뷰 전 단계 | 변경 파일에 맞는 내장 스캐너 22종 중 해당하는 것을 실행 | 문서에 별도 스캐너 단계 설명 없음 |
| 결과 검증과 깊이 | 인용한 줄을 스크립트가 원본과 대조, 모든 변경 줄이 리뷰어에게 전달됐는지 검사 | effort 수준(low~max, ultra는 클라우드 리뷰)으로 깊이 조절 |
| 사용자 지시 파일 | 리뷰어는 사용자의 CLAUDE.md와 설정을 불러오지 않음 |
리뷰가 사용자의 CLAUDE.md를 따름 |
| 결과 처리 | 영수증 출력 후 개발자가 고칠 지적을 선택, HTML/Markdown/JSON/SARIF 보고서 저장 | --fix로 바로 수정, --comment로 GitHub PR이나 GitLab MR에 코멘트 |
| push 연동 | 에이전트 훅과 git pre-push 훅이 리뷰 기록을 확인(기본은 경고만) | 명령으로 실행하거나 Claude가 요청에 따라 시작 |
OpenQodex 벤치마크 코드에는 같은 사례를 Claude Code의 /code-review medium으로 리뷰하는 대조군(control) 모드가 들어 있습니다. 다만 공개된 결과 페이지에는 아직 대조군 행이 없어서, 두 방식의 정확도를 같은 사례로 비교한 수치는 현재 확인할 수 없습니다.
결정론적 단계와 에이전트를 섞는다는 발상은 Alibaba가 공개한 Open Code Review와도 비슷합니다. Open Code Review는 파일 선택과 묶음, 규칙 매칭, 코멘트 위치 보정을 엔지니어링 로직으로 고정하고, 사용자가 설정한 OpenAI 또는 Anthropic 호환 모델 엔드포인트를 호출합니다. OpenQodex는 모델 호출을 직접 하지 않고 이미 로그인된 Claude Code나 Codex를 리뷰어로 빌려 쓴다는 점, 그리고 push 훅으로 작업 흐름에 끼어든다는 점이 다릅니다. 두 프로젝트 모두 AACR-Bench 수치를 공개하지만, 평가한 사례 범위와 모델이 달라 숫자를 직접 비교할 수는 없습니다.
OpenQodex를 사용하면 좋을 사용자
OpenQodex는 Claude Code나 Codex를 이미 쓰고 있고, 에이전트가 만든 변경을 push 전에 한 번 더 걸러 내고 싶은 개발자와 팀에 맞습니다. 리뷰가 어떤 줄을 읽었는지, 어떤 단계가 실행되지 않았는지가 보고서에 남기 때문에, 리뷰 결과를 근거와 함께 기록해야 하는 팀에도 쓸모가 있습니다. Cursor나 Cline 사용자도 리뷰를 요청할 수 있지만, 이때도 리뷰어로 쓸 Claude Code나 Codex가 설치되어 로그인되어 있어야 합니다.
반면 자체 API 키나 로컬 모델로 리뷰어를 실행하고 싶다면 맞지 않습니다. OpenQodex CLI는 GitHub Action을 제외하면 API 키로 리뷰하는 경로가 없고, 리뷰어도 Claude Code와 Codex로 한정합니다. 다른 모델을 쓰려면 OpenQodex를 Node 라이브러리로 불러 직접 프로그램을 작성해야 합니다. Windows는 WSL로 쓰라고 안내하지만 Windows와 WSL에서 도는 테스트는 없습니다. Windows 네이티브 환경이거나 Claude Code와 Codex를 쓰지 않는 팀에게는 OpenQodex가 아직 적절한 선택지가 아닙니다.
OpenQodex의 리뷰 과정
스캐너 단계
OpenQodex는 22종의 스캐너를 내장하고, 변경에 그 스캐너가 읽는 파일이 있을 때 실행합니다. 비밀 정보(1종), 코드 보안 문제(3종), 알려진 취약점이 있는 의존성(2종), 린트(5종), GitHub Actions 워크플로(2종), Dockerfile/Terraform/Kubernetes/CloudFormation(6종), SQL과 데이터베이스 마이그레이션(3종)을 다룹니다. 각 스캐너는 처음 쓸 때 내려받고 버전을 하나로 고정합니다. 전체 목록과 각 스캐너가 검사하지 않는 범위는 저장소의 docs/scanners.md에 있습니다.
스캐너 결과는 변경된 줄에 걸린 것만 남기고, 테스트 픽스처(fixture)와 사용자가 끈 규칙의 결과는 버립니다. 의존성 검사는 예외적으로 저장소의 모든 lockfile을 리뷰할 때마다 osv.dev에 조회하는데, 변경 줄 밖의 취약점 권고는 보여주기만 하고 판정에 세지 않습니다. 내장 스캐너 외의 스캐너도 GitHub 링크로 추가할 수 있습니다. 조건은 SARIF(정적 분석 결과의 표준 JSON 형식)나 설정으로 변환할 수 있는 JSON을 출력하는 것이고, openqodex trust로 그 항목을 직접 승인해야 실행됩니다.
찾기와 검증 단계
리뷰어는 개발자의 작업 폴더가 아니라 ~/.openqodex/checkouts/ 아래 변경 사본을 읽습니다. 스캐너가 찾은 비밀 정보는 이 사본에서 미리 가려집니다. Claude Code 리뷰어에게는 읽기, 검색, 목록 도구와 Claude Code의 웹 검색, 웹 페이지 열기 도구만 주어지고, 셸과 파일 수정, MCP 서버, 서브에이전트는 주어지지 않습니다. 사용자의 Claude Code 설정, 훅, 플러그인, CLAUDE.md도 지시로 불러오지 않습니다.
기본 설정에서는 변경을 파일 단위(작은 파일은 묶음)로 나누어 단위마다 찾기 세션 2개가 정확성과 안전성, 인터페이스와 규약을 나눠 맡아 문제 후보를 내고, 변경 파일마다 새로 띄운 검증 세션이 후보를 확인합니다. 찾기 세션은 후보마다 근거가 되는 코드 줄을 인용해야 하고, 스크립트가 그 인용이 실제 코드와 같은지 확인합니다. 검증 세션은 모든 후보와 스캐너 결과에 대해 확인 또는 반박을 이유와 함께 답해야 하며, 스크립트는 모든 스캐너 결과에 답했는지와 모든 변경 줄이 리뷰어에게 전달됐는지도 검사합니다. 스타일, 이름 짓기, 문서, 테스트에 대한 의견은 관찰(observation)로 따로 표시되고 판정에는 들어가지 않습니다.
웹 도구는 기본으로 켜져 있습니다. 리뷰어는 비공개 코드와 함께, 변경에 담긴 신뢰할 수 없는 텍스트도 읽습니다. OpenQodex 개발팀은 이런 리뷰어가 웹 주소를 열 수 있으면 그 코드를 웹 주소에 담아 내보내도록 유도될 수 있다고 직접 경고합니다. 비공개 저장소라면 ~/.openqodex/config.yaml에 reviewer_web: off를 넣어 웹 도구를 끄는 편이 안전합니다.
영수증과 보고서
리뷰가 끝나면 OpenQodex는 판정, 지적마다 한 줄, report.html 경로를 담은 영수증을 출력합니다. 함께 설치되는 스킬은 에이전트가 이 영수증을 사용자에게 보여주고 Fix all, or tell me which?라고 물은 뒤, 사용자가 지정한 지적만 고치도록 지시합니다. 아래 그림은 OpenQodex 랜딩 페이지 저장소의 37개 파일 변경을 리뷰한 보고서 화면으로, 지적마다 심각도(MAJOR, MINOR), 분류, 파일과 줄이 표시됩니다:
보고서는 저장소의 .openqodex/reviews/<시간>-<id>/ 폴더에 report.html, report.md, report.json, report.sarif로 저장되고, .openqodex/.gitignore가 이 보고서들을 git에서 제외합니다. 모든 단계가 실행되지 않은 리뷰는 Review incomplete와 빠진 단계를 출력하고 종료 코드 2로 끝납니다. OpenQodex는 완전한 리뷰가 아무것도 놓치지 않았다는 뜻은 아니라고 따로 밝히고 있습니다.
OpenQodex의 push 게이트와 init이 추가하는 설정
npx openqodex init은 설치된 코딩 에이전트를 찾아 쓸 파일 목록을 보여주고 한 번 묻습니다. Claude Code의 경우 기본 사용자 범위에서 다음을 추가합니다(저장소의 docs/agents.md):
~/.claude/skills/openqodex/SKILL.md에 리뷰 스킬~/.claude/settings.json에git push명령에만 반응하는PreToolUse훅~/.claude/CLAUDE.md에 push 전에 openqodex 스킬로 변경을 리뷰하라는 지시 한 줄~/.claude/settings.json의permissions.allow에review,review --all,guide,findings,graph명령을 묻지 않고 실행하는 권한 규칙~/.claude.json에 코드 그래프 MCP 서버 등록,~/.openqodex/아래에 런처와 실행 파일 사본
저장소 안에서 실행하면 저장소 루트의 CLAUDE.md와 AGENTS.md에도 리뷰 섹션을 더합니다(--no-repo로 생략). 이 두 파일을 커밋하면 팀원의 에이전트도 push 전에 리뷰하게 됩니다. git pre-push 훅도 함께 추가합니다(--hook none으로 생략). 공용 설정 파일과 저장소 파일이 바뀌는 만큼, 처음에는 init이 보여주는 목록을 확인하고 진행하는 것이 좋습니다. 제거는 npx openqodex init --uninstall로 하며, init이 쓴 것 중 사용자가 고치지 않은 것만 지웁니다. 내려받은 스캐너까지 지우려면 ~/.openqodex/를 따로 삭제해야 합니다.
push 게이트는 두 겹입니다. 에이전트 안의 훅은 현재 작업에 통과한 리뷰가 있는지만 확인하고 실제로 무엇이 push되는지는 모릅니다. git pre-push 훅은 push되는 커밋 자체에 대한 리뷰 기록을 확인하지만, git push --no-verify로 건너뛸 수 있습니다. 두 훅 모두 기본으로는 경고만 합니다. .openqodex/config.yaml에 review.block_on_severity를 정하면 리뷰 기록이 없는 push와 그 심각도 이상의 지적이 있는 push를 막고, 완료되지 않은 리뷰는 막지 않습니다. 사용자는 OPENQODEX_SKIP=1로 push 한 번을 통과시킬 수 있습니다. 심각도는 critical, major, minor, nitpick, info 순입니다:
review:
block_on_severity: critical
OpenQodex의 코드 그래프
OpenQodex는 모델 없이 저장소의 함수, 클래스, 타입과 그 사이의 호출, import, 상속 관계를 계산한 코드 그래프를 만듭니다. 지원 언어는 TypeScript, TSX, JavaScript, Python, Go, Ruby, Java입니다(Java는 0.15.0에서 추가). Django, Rails, Express, React, Next.js, FastAPI, Go net/http는 프레임워크 플러그인이 라우트와 핸들러 같은 관계를 따로 읽습니다. 그래프의 각 호출 관계에는 그것을 증명한 근거와 확실도(certain, likely, possible)가 붙습니다.
OpenQodex는 리뷰 개요(brief, 리뷰어에게 주는 입력 문서)에 바뀐 코드의 호출자를 그래프에서 뽑아 넣습니다. 에이전트도 init이 등록한 로컬 MCP 서버로 같은 질문을 할 수 있습니다. MCP 도구는 정의 찾기(graph_search 등), 도달 범위(graph_callers, graph_impact 등), 라우트와 테스트(graph_routes, graph_tests 등), 변경으로 사라지거나 옮겨진 것(graph_changes), 그래프가 보지 못한 부분(graph_unknowns 등)으로 나뉩니다. 동적 호출처럼 그래프가 확인하지 못한 경로는 답이 하한(floor)이라는 표시와 이유를 함께 돌려줍니다.
그래프의 효과는 아직 작은 사례에서만 측정되었습니다. 개발팀이 OpenQodex 0.9.0 시절 14개 사례를 그래프 없이, 그리고 그래프와 함께 3회씩 리뷰한 실험에서, 심은 버그 37개를 3회 반복한 111건 중 찾은 것은 96건(86%)과 99건(89%)이었습니다. 개발팀은 이렇게 작은 저장소에서는 리뷰어가 자체 검색으로 호출자를 찾아내므로, 그래프가 리뷰 개요에 호출자를 넣어 주긴 했지만 찾은 버그를 바꾸지는 않았다고 벤치마크 문서에 적었습니다. 큰 저장소에서의 효과를 보여주는 수치는 아직 없습니다.
OpenQodex 벤치마크
OpenQodex 개발팀은 리뷰 품질을 두 가지 사례 묶음으로 측정해 공개합니다. 첫째는 개발팀이 직접 만든 작은 저장소에 버그를 일부러 심은 사례(planted bugs)로, 버그 51개와 버그가 없는 변경 2개로 이루어져 있고 각 사례를 3회 반복해 리뷰합니다. 둘째는 Alibaba가 50개 오픈소스 프로젝트의 실제 PR 200개로 만든 외부 벤치마크 AACR-Bench입니다. 아래 표는 벤치마크 결과 페이지의 심은 버그 행을 옮긴 것입니다(10월 23일의 스캐너 전용 행은 재현율이 같아 생략):
| 리뷰어 (모델) | 측정일 | 채점 규칙 | 버그 재현율 | 정밀도 범위 | 깨끗한 변경 무지적 | 리뷰당 비용 | 리뷰당 시간 |
|---|---|---|---|---|---|---|---|
| Claude Code (claude-opus-5-5) | 10월 27일 | 11 | 150/153 (98.0%) | 84.4~100% | 6/6 | 0.437달러 | 51.7초 |
| Claude Code (claude-opus-5-5) | 10월 27일 | 12 | 150/153 (98.0%) | 84.1~99.7% | 5/6 | 0.425달러 | 60.2초 |
| Claude Code (claude-opus-5-5) | 10월 12일 | 7 | 129/153 (84.3%) | 97.3~100% | 6/6 | 0.087달러 | 26.4초 |
| Codex (gpt-6.1-sol) | 10월 12일 | 7 | 115/153 (75.2%) | 85.6~100% | 6/6 | 측정 안 됨 | 47.1초 |
| 스캐너만 | 10월 11일 | 1 | 32/51 (62.7%) | 77.8~88.9% | 1/2 | 측정 안 됨 | 8.7초 |
정밀도는 범위로 표시됩니다. 사례에 정답으로 등록되지 않았고 사람이 아직 판정하지 않은 지적이 있어서, 이를 모두 틀린 것으로 센 값과 모두 맞은 것으로 센 값을 함께 보여줍니다. 98.0% 행 두 개는 현재 npm 최신 버전인 0.15.0 이후의 main 브랜치 빌드(커밋 76a4cd15, 1dd1f708)로 측정했고, 84.3% 행은 그보다 앞선 10월 12일 빌드입니다. 0.15.0 배포판 자체로 측정한 Claude Code와 Codex 행은 없습니다. 채점 규칙 버전도 행마다 달라서(7, 11, 12), 재현율이 높은 두 행은 리뷰당 비용이 약 5배, 시간이 약 2배라는 점과 함께 읽어야 합니다. 10월 12일 빌드를 같은 조건으로 한 번 더 실행한 A/A 실험에서는 반복 1회당 찾은 버그 수가 평균 2.33개 차이 났습니다. 98.0% 행에는 이런 반복 측정이 없습니다.
실제 PR에서는 결과가 크게 다릅니다. AACR-Bench의 개발용 부분집합(dev-laptop)에서 Claude Code 리뷰어의 위치 재현율은 10월 13일 빌드(3회 반복)에서 10.7%, 10월 27일 두 빌드(1회씩)에서 21.9%와 27.7%였습니다. 세 행은 채점 규칙도 각각 8, 11, 12로 다릅니다. 위치 재현율은 정답 이슈 가운데 한 줄 이내에 지적이 붙은 비율이고, 채점 규칙 8에서 Codex는 11.5%였습니다. 같은 위치 재현율이 심은 버그 사례의 10월 27일 행에서는 153/153(100%)이었으므로, 소규모 사례의 결과가 실제 PR에서는 그대로 재현되지 않았습니다. 10월 27일에 측정한 Claude Code 행의 리뷰당 비용은 약 1.53달러, 시간은 약 3분입니다.
지적이 정답 코멘트와 같은 문제를 말하는지 사람이 판정하는 이슈 재현율은 모델 리뷰어가 들어간 AACR-Bench 행 모두가 아직 판정 전입니다. AACR-Bench 자체 평가기로 채점한 행은 Node 라이브러리 경로에서 gpt-6.1-sol을 쓴 한 행뿐이고, 의미 기준 정밀도 22.8%, 재현율 5.2%, F1 8.5%였습니다. 개발팀이 공개한 수치만으로는 실제 PR에서의 리뷰 품질을 판단하기 이르고, 그 측정이 아직 진행 중이라는 점을 감안해야 합니다.
OpenQodex 설치와 사용
OpenQodex를 쓰려면 Node 22 이상과 git, macOS 또는 Linux가 필요하고, 전체 리뷰를 하려면 Claude Code나 Codex가 설치되어 로그인되어 있어야 합니다. 일부 스캐너는 OpenQodex가 설치하지 않는 런타임을 요구합니다(brakeman, rubocop은 Ruby, golangci-lint는 Go, cargo-deny는 Cargo). 터미널에서 다음 명령으로 설치합니다:
npx openqodex init
설치가 끝나면 코딩 에이전트에게 review my change with openqodex라고 말하면 됩니다. 터미널에서 직접 실행할 때는 init이 만든 런처 경로를 씁니다. npx로 설치하면 PATH에 openqodex 명령이 생기지 않기 때문입니다:
~/.openqodex/bin/openqodex review # 아직 push하지 않은 변경 리뷰
~/.openqodex/bin/openqodex review --all # 저장소 전체 리뷰
~/.openqodex/bin/openqodex review <branch> # 브랜치 리뷰
~/.openqodex/bin/openqodex review '#42' # PR 리뷰
에이전트가 대신 설치할 때는 질문 없이 진행하는 형태를 씁니다. <host> 자리에는 claude-code, codex, cursor, cline 중 하나가 들어갑니다. Codex는 기본 샌드박스에서 명령에 네트워크를 주지 않으므로, Codex용 설치는 사용자 터미널에서 직접 실행해야 합니다:
npx -y openqodex@0.15.0 init --yes --agent <host>
npx openqodex demo를 실행하면 버그를 심은 작은 저장소를 만들어 스캔해 볼 수 있습니다. 리뷰어가 없으면 review는 Full review unavailable을 출력하고, 검증하지 않은 스캐너 결과만 저장합니다. 이때 대안으로 안내하는 review --agent는 코드를 쓴 에이전트가 자기 변경을 리뷰하는 방식이라, OpenQodex의 핵심인 리뷰어 분리가 빠집니다.
네트워크 사용도 미리 알아 둘 부분입니다. OpenQodex 자체는 사용 데이터를 수집하지 않고 텔레메트리도 보내지 않으며, 내장 스캐너도 코드를 외부로 보내지 않습니다. 다만 리뷰어는 리뷰할 변경과 읽은 파일을 사용자의 Claude Code 또는 Codex 로그인이 쓰는 모델 서비스로 보냅니다. 스캐너 내려받기, Semgrep 규칙 팩 조회, lockfile의 의존성 이름과 버전을 osv.dev로 보내는 조회도 네트워크를 씁니다. init으로 설치하면 하루 한 번 npm 레지스트리에서 새 버전을 확인하고, 같은 메이저 버전의 새 릴리스를 백그라운드에서 내려받아 설치합니다. 자동 업데이트는 openqodex update --off로 끕니다. --offline을 붙이면 네트워크를 쓰는 스캐너와 내려받기, 업데이트를 끄지만 리뷰어의 모델 호출은 그대로입니다. 각 네트워크 사용은 저장소의 docs/privacy.md에 정리되어 있습니다.
PR 단계에서 쓰려면 GitHub Action도 있습니다. 워크플로에 ANTHROPIC_API_KEY를 주면 러너에서 Claude Code 리뷰어로 전체 리뷰를 하고 결과를 GitHub 코드 스캐닝에 올리며, 키가 없으면 스캐너만 실행합니다. 이 경우 리뷰 비용은 저장소의 Anthropic API 크레딧에서 나가고 OpenQodex는 예산 상한을 두지 않습니다. 개발팀이 이슈 #30에 공개한 측정에서는 85개 파일, 약 6,300줄을 더한 변경 하나의 리뷰가 입력 토큰 560만 개(API 가격으로 약 4달러)를 썼습니다.
OpenQodex의 라이선스
OpenQodex는 Apache-2.0 라이선스로 공개되어 있어 개인 및 상업적 목적으로 자유롭게 사용할 수 있습니다.
단, 스캐너는 OpenQodex에 포함되지 않고 실행할 때 각 배포처에서 내려받으며 각자의 라이선스를 따릅니다. 이 가운데 brakeman(Brakeman Public Use License)과 semgrep이 내려받는 Semgrep 규칙 팩(Semgrep Rules License v1.0)은 오픈소스 라이선스가 아닙니다. OpenQodex를 상용 서비스에 넣어 쓰려면 NOTICE 파일과 스캐너 목록 문서에서 각 조건을 먼저 확인해야 합니다.
OpenQodex 공식 홈페이지
OpenQodex 문서
OpenQodex 프로젝트 GitHub 저장소
더 읽어보기
이 글은 GPT 모델로 정리한 초안을 바탕으로 한 것으로, 원문의 내용 또는 의도와 다르게 정리된 내용이 있을 수 있습니다. 관심있는 내용이시라면 원문도 함께 참고해주세요! 읽으시면서 어색하거나 잘못된 내용을 발견하시면 댓글로 알려주시기를 부탁드립니다. 
이 글은 
파이토치 한국 사용자 모임
이 직접 정리한 글입니다. 새 글을 놓치지 않으시려면 텔레그램(Telegram)이나 Slack/Discord/Teams/Dooray/GoogleChat 등으로 알림을 받으시고, 회원으로 가입하시면 주요 글들을 이메일
로도 보내드립니다! 
아래
쪽에 좋아요
를 눌러주시면 새로운 소식들을 정리하고 공유하는데 힘이 됩니다~ 