GitHub Actions Claude Code PR 자동 리뷰 5단계 — 월 5달러 자동화

3개월 전부터 GitHub Actions에 Claude Code Action 통합해서 PR 자동 리뷰 봇 운영 중이에요. 처음엔 "월 200~300달러 깨지지 않을까" 걱정했는데 실제 청구서는 월 4.7달러. 50 PR 처리하고 봇이 인라인 코멘트 작성·이슈 라벨링·테스트 실행까지 다 해줬는데도요.

비결은 prompt caching + max-turns 8 + Spending limits $100 안전장치 3종. 이 셋업 안 갖추면 1,800달러 청구 사고 케이스도 실제로 있었어요. 이 글은 직접 운영하며 정착된 5단계 셋업 + 안전장치 + 비용 절감 5가지 노하우예요.

비용 구조 — 진짜 월 5달러로 가능한가

50 PR/월 기준 운영 데이터:

이건 API 직접 호출 기준. Claude Pro $20/월 구독으로 가면 이 모든 게 구독료 안에 포함, 추가 청구 0. 운영 빈도가 PR 50 넘으면 Pro가 유리.

Claude Pro 구독 vs API — 손익 분기점

월 PR 수 50 미만: API 권장 ($5 미만) 월 PR 수 50~150: Pro 구독 ($20 무제한) 월 PR 수 150+: Max 구독 ($100, 더 높은 rate limit)

저는 처음 한 달은 API로 시작 → 비용 패턴 확인 → 월 60 PR 넘어가서 Pro로 전환했어요.

5단계 셋업 — Claude Code Action 도입

단계 1. ANTHROPIC_API_KEY 발급 + GitHub Secrets 등록

claude.ai 콘솔 → API Keys → "Create Key" 누르고 'github-actions-pr-review-bot' 같은 명확한 이름. 권한은 최소한으로 — Read/Write 만, Admin 안 줌.

발급 즉시:

1. claude.ai 콘솔 → Settings → Spending limits → $100/월 설정
2. GitHub 레포 → Settings → Secrets and variables → Actions
3. New repository secret → 이름 ANTHROPIC_API_KEY, 값 붙여넣기
4. 환경(environment) 분리하고 싶으면 'production' environment 만들고 거기에만 secret 등록

단계 2. .github/workflows/claude-pr-review.yml 작성

name: Claude PR Review

on:
  pull_request:
    types: [opened, synchronize, ready_for_review]
    branches: [main, develop]

jobs:
  review:
    runs-on: ubuntu-latest
    if: github.event.pull_request.draft == false
    permissions:
      contents: read
      pull-requests: write
      issues: write
    environment: production
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: Claude Code Review
        uses: anthropics/claude-code-action@v1
        with:
          anthropic_api_key: secrets.ANTHROPIC_API_KEY
          model: claude-opus-4-7-20260315
          max-turns: 8
          system-prompt: |
            너는 코드 리뷰 전문가야.
            PR 변경 사항을 7가지 관점에서 분석하고 인라인 코멘트 작성:
            1. 잠재적 버그
            2. 타입 안전성
            3. 테스트 커버리지
            4. 성능 회귀
            5. 보안 위험
            6. 코드 스타일
            7. 비즈니스 로직 모순
          prompt: |
            이 PR을 리뷰하고 인라인 코멘트 작성해줘.
            심각도 상 5개 이상이면 'changes-requested' 리뷰,
            그 외는 'commented' 리뷰로 마무리.

주의: 위 YAML 의 secrets.ANTHROPIC_API_KEY 부분은 GitHub 표준 표현식 문법 (대괄호 둘러싸인 문법) 인데, 이 글에서 마크다운 렌더링 문제로 단순 표기. 실제 작성 시엔 표준 시크릿 참조 문법 사용하세요.

단계 3. CODEOWNERS 와 결합 — 자동 리뷰어 지정

.github/CODEOWNERS 파일:

# 모든 PR 에 Claude 봇이 코드 리뷰 어사인
*  @claude-bot

# 보안 민감 영역은 사람도 추가
src/auth/  @claude-bot @senior-dev
src/payment/  @claude-bot @senior-dev @cto

이렇게 두면 PR 오픈 시 자동으로 Claude 봇 어사인 + 사람 리뷰어도 자동.

단계 4. 라벨 기반 트리거 분기

특정 라벨일 때만 깊은 분석. .github/workflows/deep-review.yml:

name: Claude Deep Security Review

on:
  pull_request:
    types: [labeled]

jobs:
  security:
    if: github.event.label.name == 'security-review'
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: anthropics/claude-code-action@v1
        with:
          anthropic_api_key: secrets.ANTHROPIC_API_KEY
          model: claude-opus-4-7-20260315
          max-turns: 15
          system-prompt: |
            너는 보안 감사 전문가.
            OWASP Top 10 기준 + 최신 CVE 검토.
          prompt: 이 PR 의 보안 취약점 5가지 깊이 분석.

라벨 'security-review' 붙은 PR 만 깊은 분석. 평소엔 단순 리뷰만, 큰 변경에만 보안 감사.

단계 5. 결과 저장 + 메트릭 수집

PR 자동 리뷰 결과를 별도 레포 claude-review-logs 에 저장:

- name: Save Review Log
  if: always()
  uses: actions/upload-artifact@v4
  with:
    name: review-${{ github.event.pull_request.number }}
    path: review-output.json
    retention-days: 90

매주 1번 메트릭 집계: 처리 PR 수·평균 코멘트 수·발견 이슈 심각도 분포·자동 머지 비율·비용 합계. 이걸로 운영 효율 추적.

비용 절감 5가지 노하우 — 직접 운영하며 정착

1. Prompt Caching 필수 활성화

같은 코드베이스를 매번 1M 토큰 통째로 보내면 호출당 $15. 5분 캐시 활성화 시 첫 호출 후 90% 할인.

Claude Code Action 은 자동으로 cache 적용하지만, 직접 API 호출 시 명시 필요:

system=[{
    "type": "text",
    "text": codebase_content,
    "cache_control": {"type": "ephemeral"}
}]

같은 ai-blog의 Claude AI 키워드 분석 블로그 글 최적화 에서도 캐싱 활용 사례 다뤘는데, 코드 리뷰 자동화에서도 동일 원리예요.

2. max-turns 8~10 으로 제한

기본값 50은 위험. 무한 루프·과도 분석 가능성. PR 리뷰는 5~10턴이면 충분.

3. 작은 PR 분리 권고

2000라인 넘는 PR은 비용 + 분석 품질 둘 다 떨어져요. 의뢰인(개발자)에게 "PR 500 라인 이하로 쪼개주세요" 가이드 PR 템플릿에 명시.

4. 라벨 기반 분기 — 모든 PR 깊게 안 봄

평범한 리팩터링 PR 까지 보안 감사 돌리면 비용 5배. 라벨 'security-review' / 'deep-review' 붙은 PR 만 깊이.

5. 야간 batch mode 활용

긴급하지 않은 PR (의존성 업데이트·문서 수정) 은 batch mode 로 처리. Anthropic API의 batch endpoint 는 단가 50% 할인. 24시간 내 결과만 보장하면 됨.

batch = client.messages.batches.create(
    requests=[{...}, {...}, ...]
)

ANTHROPIC_API_KEY 노출 사고 방지 — 5가지 안전장치

1. GitHub Secrets에만 저장

코드·로그·디스코드·이메일 절대 X. .env 파일에 적었다가 commit 사고 흔함. .gitignore 에 .env* 추가 + git pre-commit hook 으로 secret 패턴 검출.

2. API 키 분리 — 봇 전용

본인 개인 ANTHROPIC_API_KEY 와 봇용 분리. 봇용은 claude.ai 콘솔에서 별도 발급. 사고 시 봇 키만 회수, 본인 작업 영향 0.

3. environment 한정

jobs:
  review:
    environment: production

environment: production 명시하면 GitHub UI에서 "production environment 의 secrets" 만 접근. 다른 환경(staging)에서 이 secret 못 쓰게 격리.

4. Workflow 로그 verbose 끄기

set -x 또는 echo $ANTHROPIC_API_KEY 같은 디버그 코드 사고 방지. 의심스러우면 ::add-mask:: 으로 마스킹.

5. Spending limits + Alert

claude.ai 콘솔 → Settings → Spending limits:

• 월 한도 $100 설정
• 50% 도달 시 이메일 알림
• 100% 도달 시 자동 차단

이 한 가지로 1,800달러 사고 케이스가 100달러로 막혀요.

흔한 실수 5가지 — 3개월 운영하며 깨진 것들

실수 1. max-turns 안 정함 (기본 50)

비용 폭주. 8~10 으로 명시 필수.

실수 2. Spending limits 안 걸어둠

폭주 시 무한 청구. $100 설정만으로 99% 사고 방지.

실수 3. 모든 PR 깊은 분석

평범한 리팩터링까지 보안 감사 돌리면 비용 5배. 라벨 분기.

실수 4. ANTHROPIC_API_KEY 셸 environment 에 저장

.bashrc 에 export ANTHROPIC_API_KEY=... 두면 자식 프로세스 모두 상속. claude -p 같은 CLI 실수로 폭주 가능. GitHub Secrets만.

실수 5. PR 컨텍스트에 .env·secrets 파일 포함

.dockerignore·.gitignore 에 secrets 파일 패턴 명시. PR diff 에 포함되면 Claude가 그대로 분석에 쓰면서 로그·결과에 노출 위험.

운영 한 달 데이터 (4월) — 실제 결과

• 처리 PR: 73개
• 자동 머지율: 68% (사람 손 안 댐)
• 평균 인라인 코멘트: PR당 5.7개
• 발견 보안 이슈: 12건 (이 중 3건 critical)
• 비용 합계: $4.73 (Claude Pro 전환 전)
• 절감 인력 시간: 추산 28시간

ROI: 인력 시간 28h × 시간당 5만원 = 140만원 절감, 비용 6,500원. 원가 회수율 ~215배. 같은 ai-blog의 n8n + Claude API 자동화 5단계 에서 다룬 일반 자동화보다 ROI 더 높음 — 코드 리뷰는 사람 시간이 비싸기 때문.

마무리 — 다음 단계

5단계 셋업 익숙해지면 다음 확장:

1. Slack 알림 통합 — critical 이슈 발견 시 즉시 알림
2. JIRA 자동 이슈 생성 — 중간 심각도 이슈를 백로그로
3. 테스트 자동 작성 — PR이 새 함수 추가 시 테스트 자동
4. 문서 자동 갱신 — public API 변경 시 README 자동 갱신
5. 릴리스 노트 생성 — 마일스톤 PR 모아서 changelog

각 단계마다 비용 +$2~5 수준. 5개 다 켜도 월 $30 안. 같은 ai-blog의 Claude Code 자동화 5가지 실전 사용기 와 함께 보면 전체 자동화 흐름 잡기 쉬워요.

처음엔 단순 PR 리뷰 1단계만 켜고 한 달 데이터 쌓아보세요. 비용 패턴 + 정확도 둘 다 검증되면 단계별 확장. 처음부터 다 켜면 디버깅 어려워서 결국 다 끄는 사례 많아요.