Agentic AI and Code Reviews: Toward a Pattern Language for Code Reviews in the Age of Agentic AI
Quốc gia liên quan:Related countries: Hoa KỳUnited States
Bìa ghi số “Fall 2026” (Vol. 3, Issue 2), không ghi tháng; file PDF được tạo ngày 14/09/2026, nên ước tính phát hành tháng 9/2026.The issue is labelled “Fall 2026” (Vol. 3, Issue 2) with no month; the PDF was created on 14 Sep 2026, so release is estimated for September 2026.
Tóm tắtSummary
Bài viết của bảy chuyên gia công nghệ (LaunchDarkly, CircleCI, DryRun Security, Agentic AI Foundation…) trên tạp chí Enterprise Technology Leadership Journal số mùa thu 2026. Khi AI viết code nhanh hơn nhiều so với tốc độ con người đọc lại, việc mọi thay đổi đều phải qua review thủ công trở nên không bền vững. Nhóm tác giả đề xuất một “ngôn ngữ mẫu” gồm 9 mẫu (pattern) để xây hệ thống kiểm định nhiều lớp: kiểm tra tự động xác định trước, agent AI review, đánh giá theo chính sách, và con người chỉ can thiệp có chọn lọc theo mức rủi ro. Ba điều kiện để bỏ con người khỏi đường găng: dồn tối đa việc kiểm tra sang công cụ xác định; phân tầng review theo rủi ro; và mọi quyết định của agent phải để lại hồ sơ kiểm tra được. Hai tình huống thực tế: Block (90% trong 3.500 kỹ sư dùng AI hằng ngày) và Cloudflare (131.246 lượt review trên 48.095 PR trong một tháng).
Seven practitioners (LaunchDarkly, CircleCI, DryRun Security, Agentic AI Foundation and others) write in the Fall 2026 Enterprise Technology Leadership Journal. With AI producing code faster than humans can read it, manual review of every change is unsustainable. They propose a pattern language of nine patterns for a layered verification system: deterministic checks, agentic review, policy evaluation and selective, risk-tiered human judgment. Three conditions let humans leave the critical path: push as much validation as possible into deterministic checks; tier review by risk; and make every agent decision leave an inspectable record. Two case studies: Block (90% of 3,500 engineers using AI daily) and Cloudflare (131,246 review runs across 48,095 PRs in one month).
Điểm chínhKey takeaways
- Review code được đánh giá quá cao ở vai trò tìm lỗi và bị đánh giá thấp ở vai trò phân loại rủi ro; phần lớn nhận xét là về khả năng bảo trì và chia sẻ kiến thức.
- Chín mẫu: thay đổi nhỏ từng bước, dịch chuyển sang trái (shift left), thiết kế để kiểm định, kỹ thuật xác định, kỹ thuật ngữ cảnh, vòng lặp chất lượng liên tục, review đối kháng bằng LLM, review đa agent, phát triển theo đặc tả.
- “Không có con người trong vòng lặp” phải là lựa chọn cấu hình dựa trên rủi ro và bằng chứng, không phải mặc định.
- Block: AI review ban đầu nhiễu và mất lòng tin; hiệu quả hơn khi chia PR nhỏ, cho agent review agent trước và đưa ngữ cảnh tổ chức vào.
- Cloudflare: hệ thống review đa agent tích hợp CI, phân tầng theo rủi ro, trung bình chỉ khoảng 1,2 phát hiện mỗi lượt để ưu tiên tín hiệu hơn số lượng.
- Code review is over-credited as defect finding and under-credited as risk triage; most comments address maintainability and knowledge sharing.
- Nine patterns: Small Incremental Changes, Shift Left, Design for Verification, Deterministic Engineering Practices, Context Engineering, Continuous Code Quality Loop, Adversarial LLM Review, Multi-Agent Reviews, Spec-Driven Development.
- “No human in the loop” should be a configuration choice justified by risk and evidence, not a default.
- Block: early AI review was noisy and lost trust; it improved with stacked small PRs, agents reviewing agents first and organisational context.
- Cloudflare: a CI-native multi-agent reviewer, risk-tiered, averaging about 1.2 findings per run to favour signal over volume.
Bốn góc nhìnFour perspectives
Các nhận định dưới đây do AI đóng vai từng nhóm để gợi mở thảo luận. Đây không phải trích dẫn của người thật và không phải lời khuyên đầu tư.The views below are AI role-plays of each group, written to prompt discussion. They are not quotes from real people and not investment advice.
Nút thắt của phát triển phần mềm đã chuyển từ viết code sang kiểm định code; ai bán được “niềm tin” cho code do AI viết sẽ hưởng lợi.
- Thị trường công cụ review bằng AI, kiểm thử tự động và bảo mật chuỗi cung ứng phần mềm sẽ tăng nhanh cùng lượng code do agent tạo ra.
- Năng suất kỹ sư tăng nhưng chi phí suy luận (inference) và hạ tầng CI tăng theo; biên lợi nhuận phụ thuộc vào cách phân tầng rủi ro.
- Doanh nghiệp đã đầu tư vào kỹ thuật bài bản (test, typing, CI) sẽ thu lợi từ AI sớm hơn; đây là tiêu chí đánh giá năng lực công nghệ khi phân tích cổ phiếu.
The software bottleneck has moved from writing code to verifying it; whoever sells trust in AI-written code wins.
- AI review, automated testing and software supply-chain security tools should grow with agent-generated code volume.
- Engineer productivity rises, but inference and CI costs rise too; margins depend on risk tiering.
- Firms with disciplined engineering (tests, typing, CI) capture AI gains first, a useful lens for judging tech capability in equity analysis.
Phần mềm ngân hàng, ví, ứng dụng mình dùng ngày càng do AI viết; điều quan trọng là ai kiểm tra lại.
- Lỗi phần mềm có thể gây mất tiền hoặc lộ dữ liệu; nên chọn dịch vụ công bố rõ quy trình kiểm định và bảo mật.
- Tốc độ ra tính năng mới nhanh hơn không có nghĩa là an toàn hơn.
- Bài viết là góc nhìn của người làm nghề, có tài trợ, không phải nghiên cứu độc lập.
The banking, wallet and other apps I use are increasingly AI-written; what matters is who checks them.
- Software bugs can cost money or leak data; prefer services that disclose their verification and security processes.
- Faster feature releases do not mean safer ones.
- This is a sponsored practitioner view, not independent research.
Khung “ngôn ngữ mẫu” hữu ích để hệ thống hoá thực hành, nhưng bằng chứng chủ yếu là tình huống và kinh nghiệm, chưa có đánh giá nhân quả.
- Số liệu Cloudflare (1,2 phát hiện/lượt) không cho biết tỷ lệ bỏ sót lỗi hay dương tính giả; cần chỉ số chất lượng đầu ra.
- Phát hiện của Block (người giao việc cho agent mất cảm giác sở hữu PR) là giả thuyết hành vi đáng kiểm định.
- Tài liệu thừa nhận có dùng AI để biên tập; nên phân biệt rõ phần nào là dữ liệu và phần nào là quan điểm.
The pattern-language framing usefully organises practice, but the evidence is case-based and experiential, with no causal evaluation.
- Cloudflare's 1.2 findings per run says nothing about miss or false-positive rates; output-quality metrics are needed.
- Block's finding that delegating to agents weakens PR ownership is a behavioural hypothesis worth testing.
- The journal notes AI-assisted editing; readers should separate data from opinion.
Với hệ thống tài chính và hạ tầng trọng yếu, code do AI viết và AI duyệt cần được quản lý như rủi ro mô hình và rủi ro vận hành.
- Yêu cầu nhật ký kiểm tra được cho mọi quyết định của agent phù hợp với chuẩn quản lý rủi ro công nghệ (như DORA ở EU).
- Cần quy định khi nào bắt buộc có người phê duyệt, ví dụ thay đổi ở hệ thống thanh toán hay dữ liệu khách hàng.
- Việt Nam nên đưa nguyên tắc này vào quy định an toàn hệ thống thông tin ngân hàng khi các tổ chức tín dụng tăng dùng AI lập trình.
For financial and critical systems, AI-written and AI-approved code should be governed as model and operational risk.
- Auditable records of every agent decision fit ICT risk rules such as the EU's DORA.
- Rules should say when human approval is mandatory, e.g. changes to payment systems or customer data.
- Vietnam could add these principles to bank IT-security rules as credit institutions adopt AI coding.
Ý tưởng nghiên cứuResearch ideas
-
AI review có thực sự giảm lỗi sản xuất?Does AI review reduce production defects?
Câu hỏiQuestionÁp dụng review bằng agent làm thay đổi tỷ lệ sự cố sau triển khai và thời gian chờ PR như thế nào?How does adopting agentic review change post-deployment incident rates and PR lead time?
Dữ liệu & phương phápData & methodDifference-in-differences trên dữ liệu repo mã nguồn mở trước/sau khi bật bot review AI.Difference-in-differences on open-source repositories before/after enabling AI review bots.
Đóng góp kỳ vọngExpected contributionBằng chứng nhân quả đầu tiên về hiệu quả kiểm định bằng AI.Early causal evidence on AI verification effectiveness.
-
Năng lực kỹ thuật và lợi ích từ AI của doanh nghiệpEngineering maturity and firm gains from AI
Câu hỏiQuestionDoanh nghiệp có thực hành kỹ thuật tốt hơn có tăng năng suất và giá trị thị trường nhiều hơn khi dùng AI lập trình?Do firms with stronger engineering practices gain more productivity and market value from AI coding?
Dữ liệu & phương phápData & methodDữ liệu GitHub doanh nghiệp, tin tuyển dụng và lợi nhuận cổ phiếu; tương tác giữa mức độ kỹ thuật và mức độ dùng AI.Corporate GitHub data, job postings and stock returns; interact engineering maturity with AI adoption.
Đóng góp kỳ vọngExpected contributionKiểm định giả thuyết bổ trợ giữa vốn tổ chức và AI.Tests complementarity between organisational capital and AI.
-
Code do AI viết và sự cố ứng dụng tài chínhAI-written code and fintech app incidents
Câu hỏiQuestionỨng dụng tài chính tăng tốc phát hành nhờ AI có nhiều sự cố hay khiếu nại của người dùng hơn không?Do fintech apps that ship faster with AI see more outages or user complaints?
Dữ liệu & phương phápData & methodDữ liệu phiên bản ứng dụng, đánh giá trên kho ứng dụng và báo cáo sự cố.App release data, app-store reviews and incident reports.
Đóng góp kỳ vọngExpected contributionĐánh giá rủi ro cho người tiêu dùng.Consumer-risk assessment.
-
Con người trong vòng lặp: khi nào bắt buộc?Human in the loop: when should it be mandatory?
Câu hỏiQuestionNgưỡng rủi ro nào nên buộc có người phê duyệt thay đổi phần mềm trong tổ chức tài chính?What risk thresholds should require human approval of software changes at financial institutions?
Dữ liệu & phương phápData & methodPhân tích chi phí–lợi ích dựa trên dữ liệu sự cố CNTT ngân hàng và so sánh quy định DORA, MAS, NHNN.Cost–benefit analysis using bank IT incident data, comparing DORA, MAS and SBV rules.
Đóng góp kỳ vọngExpected contributionKhuyến nghị thiết kế quy định.Rule-design guidance.