Hoe AI code reviews verandert

Code review is altijd begrensd geweest door aandacht. Een reviewer scant aan het eind van de dag een diff van 600 regels en keurt de delen goed die bekend voorkomen. Large language models veranderen die rekensom: ze lezen elke regel, elke keer, zonder moe te worden.

Waar AI-reviewers goed in zijn

• Data volgen over bestanden heen, van de request-handler tot de databaseaanroep, precies waar injectie- en toegangscontrolebugs zitten.
• Kwetsbaarheidsklassen herkennen die niet in een eenvoudig patroon passen, zoals een ontbrekende eigenaarscontrole of een race condition tussen controle en gebruik.
• Een bevinding in gewone taal uitleggen en een fix voorstellen in de stijl van de omliggende code.
• Consistent zijn: voor de pull request van vrijdagmiddag gelden dezelfde regels als voor die van maandagochtend.

Waar mensen nog beslissen

Een AI-reviewer kent je threat model niet, en ook niet je compliance-verplichtingen of welke interne service stiekem publiek bereikbaar is. Hij kan er met grote stelligheid naast zitten, vooral als hij maar een deel van het systeem ziet. Goede tools maken dat zichtbaar: ze citeren het bewijs, geven hun zekerheid aan en vullen het rapport nooit op met algemeen advies.

Bewijs boven meningen

De nuttigste verschuiving is die van meningen naar bewijs. Een bevinding die de exacte regel citeert, de CWE noemt, de exploit beschrijft en de fix laat zien, kun je in een minuut verifiëren. Een bevinding die zegt 'overweeg invoer te valideren' niet. Rond die standaard is CodeAuditAgent gebouwd.

AI-review inpassen in je workflow

• Draai een audit wanneer een repository wordt toegevoegd, en daarna bij elke significante pull request.
• Triageer op ernst en zekerheid; los kritieke en hoge bevindingen op vóór de merge.
• Houd een menselijke reviewer voor ontwerp, productlogica en alles wat het rapport als lage zekerheid markeert.