Der Artikel schlägt eine Mustersprache für Code Review im Zeitalter der Agenten vor. Ausgangspunkt ist eine Beobachtung: Agenten beschleunigen das Volumen der Änderungen, erfahrene Ingenieure erhalten dutzende Review-Anfragen pro Tag, und eine erschöpfende menschliche Prüfung ist nicht mehr tragbar. Code Review wird definiert als die Prüfung von Code durch eine Instanz, die nicht dessen Autor ist, mit einem Urteil, auf das eine Handlung folgt. Die zitierten empirischen Studien zeigen, dass ihr Wert ebenso sehr in der Wartbarkeit, der Entdeckung von Alternativen und dem Wissensaustausch liegt wie in der Fehlererkennung; sie sei vor allem ein Mechanismus zur Risikotriage.
Um den Menschen aus dem kritischen Pfad zu nehmen, werden drei Bedingungen gesetzt. Ein möglichst großer Anteil der Validierung muss auf deterministische Prüfungen verlagert werden, sodass Agenten nur den verbleibenden subjektiven Raum bearbeiten. Die Review muss nach Risiko gestaffelt werden, von gar keinem Menschen bis zur expliziten Freigabe. Und jede Agenten-Entscheidung muss eine dauerhafte Spur hinterlassen, was bewertet wurde, nach welchen Richtlinien, mit welcher Konfidenz. Ohne Menschen im Loop zu arbeiten, ist eine durch Risiko und Evidenz begründete Konfigurationsentscheidung.
Toward a Pattern Language for Code Reviews in the Age of Agentic AI
Neun Muster bilden den Werkzeugkasten: kleine inkrementelle Änderungen, Shift Left, design for verification, deterministische Engineering-Praktiken, context engineering, kontinuierliche Qualitätsschleife, adversarial LLM review, Multi-Agent-Reviews, spezifikationsgetriebene Entwicklung. Die kontinuierliche Schleife lässt einen Autor-Agenten und einen Reviewer-Agenten so lange austauschen, bis ein Konvergenzkriterium erreicht ist. Die adversarial review sorgt für strukturelle Unabhängigkeit, durch ein anderes Modell oder eine isolierte Sitzung. Multi-Agent-Reviews verteilen die Arbeit auf Spezialisten, einen Triage-Agenten und einen Koordinator. Context engineering bestimmt den Rest: ohne sie sind die Befunde verrauscht.
Drei Fälle veranschaulichen dies. Block, konfrontiert mit unrevidierten Agenten-PRs, wechselte von verrauschten internen Reviewern zu kommerziellen Tools, gestapelten PRs, lokaler adversarial review und automatischer Korrektur in CI. Cloudflare baute eine CI-basierte Orchestrierung rund um OpenCode auf: spezialisierte Reviewer, ein Koordinator, gestaffelte Review, Filterung verrauschter Dateien, ein menschlicher Bypass und die Weitergabe von Befunden von einem Commit zum nächsten. In einem Monat decken 131.246 Reviews 48.095 PRs über 5.169 Repositories ab, mit durchschnittlich 1,2 Befunden pro Review. DryRun Security verwandelte eine Mandanten-Isolationslücke in eine bei jeder Änderung geprüfte Richtlinie.
Abschließend stellen die Autoren den Übergang als eine Neuordnung der Verantwortlichkeiten dar: präzise Spezifikationen, unabhängige Verifikation, dauerhafte Audit-Spuren. Die Leitfrage: Wenn etwas schiefginge, wie würde jemand davon erfahren?