# davis-gill-hendrickson-itrevolution-agentic-ai-code-reviews-2026-09-30

## Veille

Un articolo collettivo a sette autori (**Zach Davis**, **Michelle Gill**, **Elisabeth Hendrickson**, **Angie Jones**, **Sha Ma**, **Randy Shoup**, **James Wickett**), pubblicato su *Enterprise Technology Leadership Journal* da **IT Revolution** (autunno 2026, vol. 3, n. 2), sotto licenza CC BY-NC-SA. Circa **7.500 parole**, intitolato *« Toward a Pattern Language for Code Reviews in the Age of Agentic AI »*. **(A)** Impostazione: la revisione del codice è definita come un esame condotto da un'entità non autrice che porta a un'azione; gli studi empirici (Microsoft 2013, Mäntylä 2009, Beller 2014) mostrano che il suo valore risiede principalmente nella manutenibilità e nella condivisione della conoscenza, meno nel rilevamento di difetti funzionali. **(B)** Tre condizioni per togliere l'essere umano dal percorso critico: validazione deterministica massima, revisione **graduata per rischio**, una **traccia durevole** di ogni decisione dell'agente; *« no human in the loop »* è una scelta di configurazione, non un default. **(C)** Nove pattern componibili, presentati come una cassetta degli attrezzi piuttosto che come una scala di maturità: piccole modifiche, Shift Left, design for verification, pratiche di ingegneria deterministica, context engineering, ciclo continuo di qualità, revisione LLM avversariale, revisioni multi-agente, sviluppo guidato dalle specifiche. **(D)** Tre casi di studio: **Block**, **Cloudflare** (131.246 revisioni su 48.095 PR in un mese, 1,2 rilievi per revisione), **DryRun Security**. Estende le note del corpus su context engineering e revisione del codice assistita da agenti.

## Titre Article

Agentic AI and Code Reviews: Toward a Pattern Language for Code Reviews in the Age of Agentic AI

## Date

2026-09-30

## URL

https://reader.itrevolution.com/download/agentic-ai-and-code-reviews?via=itrevolution

## Keywords

agentic code review, code review, pattern language, pattern, adversarial review, multi-agent review, continuous quality loop, shift left, deterministic verification, risk-graded review, context engineering, AGENTS.md, specification-driven development, small changes, stacked PRs, audit trail, human in the loop, Zero Trust, structural independence, Block, Cloudflare, OpenCode, DryRun Security, IT Revolution, dark software factory

## Authors

Zach Davis (LaunchDarkly), Michelle Gill (Engineered by AI), Elisabeth Hendrickson (Curious Duck), Angie Jones (Agentic AI Foundation), Sha Ma (Topogy), Randy Shoup (CircleCI), James Wickett (DryRun Security) ; article collectif, IT Revolution.

## Ton

**Profilo**: un paper di ricerca pratica rivolto ai responsabili tecnici, pubblicato in una rivista editoriale dell'ecosistema DevOps. Gli autori provengono da fornitori di strumenti (**LaunchDarkly**, **CircleCI**, **DryRun Security**, Topogy) e dal consulting; la rivista segnala che strumenti di IA potrebbero aver contribuito alla stesura.

**Stile**: strutturato in pattern con un modello costante (problema, applicabilità, meccanismo, ruolo umano, collegamenti ad altri pattern), con riferimento a Christopher Alexander. Frasi generali e normative, pochi dati numerici al di fuori del caso Cloudflare.

**Posizione epistemica**: un framework proposto, non valutato tramite misurazione. I casi di studio sono scritti dalle aziende coinvolte o con il loro contributo; solo Cloudflare fornisce volumi. L'articolo stesso indica i limiti dell'IA (giudizio architetturale, impatto cross-system, problemi sottili di concorrenza, modifiche molto estese). Due autori gestiscono fornitori di prodotti di revisione o verifica, come dichiarato nella pagina degli autori.

## Pense-betes

- **Definizione di code review**: esame del codice da parte di un'entità non autrice, che porta a un giudizio seguito da un'azione (merge, rifiuto, feedback). Distingue la revisione dalla semplice lettura; l'entità può essere un agente.
- **Valore empirico**: la revisione è probabilmente sopravvalutata come rilevatore di difetti e sottovalutata come **triage del rischio**; la maggior parte dei rilievi riguarda l'evolvibilità (manutenibilità, stile, condivisione).
- **Tre condizioni** per togliere l'essere umano dal percorso critico: (1) il deterministico prima di tutto (test, analisi statica, policy as code), l'agente gestisce solo il residuo soggettivo; (2) revisione **graduata** dall'«assenza di essere umano» fino all'autorizzazione esplicita; (3) **registro ispezionabile** di ciò che è stato valutato, secondo quali politiche, con quale confidenza, da chi.
- **Collocazione nel ciclo**: durante la scrittura (feedback rapido), pre-merge (policy, architettura, regressioni), post-merge (deriva del sistema), pre-produzione (governance del rilascio).
- ⭐ **Ciclo continuo di qualità**: un agente autore e un agente revisore in un ciclo a sei fasi (produzione, esame, feedback strutturato, correzione, rivalutazione, arresto su un criterio: passaggio pulito, numero massimo di iterazioni o rischio residuo accettabile). Il revisore non duplica ciò che fanno i linter; deve **verificare che la correzione abbia funzionato** e non cercare nuovi problemi una volta risolti i precedenti.
- **Revisione LLM avversariale**: indipendenza strutturale tra generazione e valutazione. Tre forme: cross-model, cross-session (stesso modello, contesto isolato, prompt critico), prompting avversariale strutturato. Analogie con le GAN e lo Zero Trust (verifica esplicita, privilegio minimo). Da riservare ai percorsi sensibili: costo e rumore.
- **Revisioni multi-agente**: specialisti (sicurezza, performance, conformità, standard, correttezza, sfruttabilità), un agente di triage, un **coordinatore** (deduplicazione, gravità, politica bloccante/consultiva), instradamento del contesto. Il costo cresce con il numero di specialisti; la qualità del coordinatore determina il livello di fiducia.
- **Context engineering**: l'agente ha bisogno dell'architettura, dei contratti API, degli incidenti, dei commenti di revisione passati, dei compromessi accettati. Senza di esso: rilievi rumorosi e superficiali. Il ruolo umano diventa quello di **curatore**.
- **Specifiche prima di tutto**: spostare il punto di controllo dall'implementazione al piano; l'essere umano rivede l'intento, l'agente avversariale verifica la fedeltà alla specifica.
- **Cloudflare**: orchestrazione basata su CI attorno a **OpenCode**, revisori specializzati e un coordinatore, revisione graduata, filtraggio di lockfile e artefatti generati, una policy orientata all'approvazione, un'opzione umana di «break glass», rilievi riportati tra i commit. **131.246 revisioni, 48.095 PR, 5.169 repository, 159.103 rilievi** (marzo-aprile 2026).
- **Block**: 3.500 ingegneri, il 90% utilizza l'IA quotidianamente a metà 2025; le PR degli agenti restano in draft per mancanza di ownership; revisori interni rumorosi, poi strumenti commerciali più utili; PR impilate, revisione avversariale locale prima del push.
- **DryRun**: una falla di isolamento multi-tenant in beta (2023) trasformata in una policy di codice; feedback in trenta secondi; test di sfruttabilità.
- ⚠️ **Limiti**: framework non misurato al di fuori di Cloudflare; casi di studio dei fornitori che descrivono la propria pratica.

## RésuméDe400mots

L'articolo propone un linguaggio dei pattern per la revisione del codice nell'era degli agenti. Parte da un'osservazione: gli agenti accelerano il volume delle modifiche, gli ingegneri senior ricevono decine di richieste di revisione al giorno e una revisione umana esaustiva non è più sostenibile. La revisione del codice è definita come l'esame del codice da parte di un'entità che non ne è l'autrice, con un giudizio seguito da un'azione. Gli studi empirici citati mostrano che il suo valore risiede tanto nella manutenibilità, nella scoperta di alternative e nella condivisione della conoscenza quanto nel rilevamento di bug; sarebbe soprattutto un meccanismo di triage del rischio.

Per togliere l'essere umano dal percorso critico vengono poste tre condizioni. Una quantità massima di validazione deve essere spostata verso controlli deterministici, in modo che gli agenti gestiscano solo lo spazio soggettivo residuo. La revisione deve essere graduata in base al rischio, dall'assenza totale di essere umano fino all'autorizzazione esplicita. E ogni decisione dell'agente deve lasciare una traccia durevole di ciò che è stato valutato, secondo quali politiche, con quale livello di confidenza. Lavorare senza un essere umano nel ciclo è una scelta di configurazione giustificata dal rischio e dalle evidenze.

Nove pattern compongono la cassetta degli attrezzi: piccole modifiche incrementali, Shift Left, design for verification, pratiche di ingegneria deterministica, context engineering, ciclo continuo di qualità, revisione LLM avversariale, revisioni multi-agente, sviluppo guidato dalle specifiche. Il ciclo continuo fa scambiare un agente autore e un agente revisore fino al raggiungimento di un criterio di convergenza. La revisione avversariale fornisce indipendenza strutturale, tramite un modello diverso o una sessione isolata. Le revisioni multi-agente suddividono il lavoro tra specialisti, un agente di triage e un coordinatore. Il context engineering condiziona il resto: senza di esso, i rilievi sono rumorosi.

Tre casi illustrano questo. Block, di fronte a PR di agenti lasciate senza revisione, è passata da revisori interni rumorosi a strumenti commerciali più utili, PR impilate, revisione avversariale locale e correzione automatica in CI. Cloudflare ha costruito un'orchestrazione basata su CI attorno a **OpenCode**: revisori specializzati, un coordinatore, revisione graduata, filtraggio dei file rumorosi, un bypass umano e il riporto dei rilievi da un commit all'altro. In un mese, 131.246 revisioni coprono 48.095 PR su 5.169 repository, con una media di 1,2 rilievi per revisione. DryRun Security ha trasformato una falla di isolamento tra tenant in una policy verificata su ogni modifica.

In conclusione, gli autori presentano la transizione come una riorganizzazione delle responsabilità: specifiche precise, verifica indipendente, tracce di audit durevoli. La domanda guida: se qualcosa andasse storto, come lo si saprebbe?

## GrapheDeConnaissance

- Zach Davis —travaille_chez→ LaunchDarkly (ORGANISATION, 0.9)
- Randy Shoup —travaille_chez→ CircleCI (ORGANISATION, 0.95)
- James Wickett —dirige→ DryRun Security (ORGANISATION, 0.95)
- IT Revolution —publie→ article Agentic AI and Code Reviews (DOCUMENT, 0.95)
- article Agentic AI and Code Reviews —recommande→ revue graduée par le risque, avec trace durable de chaque décision d'agent (AFFIRMATION, 0.93)
- article Agentic AI and Code Reviews —affirme_que→ « No human in the loop » est un choix de configuration justifié par le risque et la preuve, non une valeur par défaut (AFFIRMATION, 0.92)
- revue adverse LLM —améliore→ l'indépendance entre génération et évaluation, par un modèle ou une session distincts (AFFIRMATION, 0.9)
- revue adverse LLM —s_inspire_de→ Zero Trust (CONCEPT, 0.88)
- boucle de qualité continue —utilise→ revue adverse LLM (METHODOLOGIE, 0.8)
- revues multi-agents —utilise→ agent coordinateur (CONCEPT, 0.92)
- ingénierie de contexte —permet→ des constats de revue moins bruyants et plus pertinents (AFFIRMATION, 0.9)
- développement piloté par la spécification —s_applique_à→ la revue de l'intention avant l'écriture du code (AFFIRMATION, 0.9)
- Cloudflare —a_créé→ système de revue de code en CI (TECHNOLOGIE, 0.93)
- système de revue de code en CI —utilise→ OpenCode (TECHNOLOGIE, 0.95)
- système de revue de code en CI —mesure→ 131 246 revues sur 48 095 PR dans 5 169 dépôts, 159 103 constats, soit 1,2 par revue (mars-avril 2026) (MESURE, 0.95)
- Block —utilise→ revue adverse locale avant push (METHODOLOGIE, 0.88)
- Block —observé_dans→ PR d'agents laissées en brouillon faute de propriété (AFFIRMATION, 0.85)
- DryRun Security —utilise→ test d'exploitabilité (METHODOLOGIE, 0.9)
- article Agentic AI and Code Reviews —référence→ étude Microsoft sur la revue de code moderne (DOCUMENT, 0.9)
- article Agentic AI and Code Reviews —affirme_que→ « Generating code is cheap, but organizational attention is not. » (CITATION, 0.85)

---
Canonical: https://www.thekb.eu/it/fiches/davis-gill-hendrickson-itrevolution-agentic-ai-code-reviews-2026-09-30/