바이브 코딩은 보통 개발자의 화면 안에서 일어납니다. 에디터를 열고, 말을 걸고, 결과를 봅니다.
그런데 AI가 사람이 보지 않는 곳에서 일하기 시작하면 이야기가 달라집니다. 새벽에 들어온 이슈에 라벨을 붙이고, 올라온 PR에 의견을 남기는 식으로요. 구글이 2025년 8월에 공개한 Gemini CLI GitHub Actions가 그런 자리를 노립니다.
이 글은 그 발표문과 공개 저장소를 읽고, CI에 AI를 넣을 때 무엇을 먼저 정해야 하는지 정리한 것입니다.
무엇을 해 주나
구글 블로그는 이 도구를 저장소를 위한 "AI 코딩 팀원"이라고 부릅니다. 반복 업무를 처리하는 자율 에이전트이자, 필요할 때 일을 넘길 수 있는 협업자라는 설명입니다.
처음 공개한 워크플로는 셋입니다.
- 이슈 분류: 들어오는 이슈를 분석하고 라벨을 붙이고 우선순위를 매깁니다.
- PR 리뷰: 변경 사항의 품질, 스타일, 정확성을 봅니다.
- 멘션 호출: 이슈나 PR에서
@gemini-cli를 부르면 테스트 작성이나 범위가 분명한 버그 수정 같은 일을 맡깁니다.
새 이슈나 PR 같은 이벤트가 생기면 백그라운드에서 비동기로 돈다고 합니다. 사람이 대기하지 않는다는 점이 에디터 안의 바이브 코딩과 가장 다른 부분입니다.
CI에 들어가는 순간 바뀌는 것
에디터 안에서 쓰는 AI는 내 권한으로 움직이고, 내가 지켜봅니다. CI 안의 AI는 다릅니다. 저장소에 접근하는 자격 증명을 들고, 아무도 지켜보지 않는 시간에 돕니다.
그래서 발표문은 기능 소개만큼 보안 장치를 길게 설명합니다.
오래 사는 키를 없앤다. Vertex AI와 Gemini Code Assist Standard·Enterprise 사용자는 Workload Identity Federation으로 인증할 수 있어서, 수명이 긴 API 키를 저장소 비밀값에 넣어 둘 필요가 없다고 합니다. 저장소 README도 두 방식을 나란히 놓고 Gemini API 키는 "가장 간단한 방법", Workload Identity Federation은 "가장 안전한 방법"으로 설명합니다.
실행할 수 있는 명령을 정해 둔다. 명령 허용 목록으로 에이전트가 실행할 셸 명령을 하나하나 승인합니다. 에이전트에게 따로 신원을 주고, 필요한 권한만 붙일 수 있습니다.
무엇을 했는지 남긴다. OpenTelemetry와 연동해 로그와 지표를 Google Cloud Monitoring 같은 모니터링 플랫폼으로 보낼 수 있습니다. README에는 추적·지표·로그를 자기 Google Cloud 프로젝트로 보내는 설정이 있고, 모범 사례로 켜 두라고 권합니다.
세 장치는 앞선 편들과 짝을 이룹니다. 키 없는 인증과 최소 권한은 6편의 울타리, 텔레메트리는 5편의 계측과 같은 이야기입니다. 무대가 개발자 노트북에서 CI로 옮겨 왔을 뿐입니다.
저장소 쪽 기본기도 같이
README의 모범 사례 항목은 짧지만 놓치기 쉬운 것들입니다. 브랜치와 태그 보호, PR 승인자 제한, 비밀값 관리, 액션 버전 고정입니다. GitHub 쪽 인증도 기본 GITHUB_TOKEN 대신 사용자 지정 GitHub App을 권장합니다.
AI 리뷰어가 생겼다고 해서 머지 권한까지 넘어가면 안 됩니다. AI가 남기는 건 의견이고, 브랜치 보호가 마지막 문을 지킵니다.
어디서부터 붙일까
시작은 간단합니다. Gemini CLI 0.1.18 이상을 받아 /setup-github를 실행하면 된다고 안내되어 있습니다. Google AI Studio 사용자에게는 무료 할당량이 넉넉하게 주어지고, Vertex AI와 Gemini Code Assist Standard·Enterprise도 지원합니다. 발표 시점 기준 베타였습니다.
순서를 고르라면 이슈 분류부터가 무난해 보입니다. 라벨이 틀려도 되돌리기 쉽고, 코드에 직접 손대지 않습니다. PR 리뷰는 그다음입니다. 의견만 남기니 위험은 낮지만, 팀이 AI의 지적을 어떻게 다룰지 먼저 합의해야 합니다. 코드를 직접 고치는 멘션 호출은 마지막입니다.
이 순서는 결국 하나의 질문을 따릅니다. 이 AI가 틀렸을 때 되돌리는 데 얼마나 드는가. CI 안의 바이브 코딩은 그 비용이 낮은 일부터 맡기는 편이 오래갑니다.
