저장소·CI 통합
codex-action · MCP · 병렬 세션

Session 8 · 저장소·CI 통합 자동화

codex-action 워크플로 · MCP 재사용 3곳 · worktree 병렬 · 승인 게이트 · 위험 감지

강사 박수현 · 🚀 젠아이랩스(GenAI Labs)

🎨 이미지 프롬프트: "Editorial illustration on dark navy #0f1722 background showing a personal laptop on the left connected by a glowing pipe to three GitHub Actions runners on the right. The pipe has a small badge with 'codex-action' and an 'mcp' icon floating above it. Clean editorial illustration style, teal #00b894 and purple #6c5ce7 accents, 16:9. CRITICAL: All visible text MUST be in English ONLY (no Korean characters). Each label appears EXACTLY ONCE — no duplicates. No mirrored or reversed text."

PART 1

CI 통합의 필요성 — 로컬로 안 되는 것

로컬 세션이 못 하는 세 가지 · Codex 와 Claude 두 진영의 공식 액션 비교.

로컬 도구가 못 하는 3가지

로컬 Claude Code · Codex 세션은 강력하지만, 다음 세 가지는 사람이 자리를 비운 동안에도 자동으로 실행되어야 한다.

Codex · Claude — 두 진영의 공식 액션 비교

PART 2

GitHub Actions + codex-action — 4개 워크플로

액션 구조 · PR 리뷰 · 릴리스 노트 · 자동 리팩토링 · 승인 게이트·Secrets.

openai/codex-action 구조

공식 액션 이름은 openai/codex-action, 최신 안정판은 v1 태그. 러너에서 하는 일 세 가지.

액션의 주요 input.

PR 자동 리뷰 — codex-review.yml (트리거·권한·체크아웃)

# .github/workflows/codex-review.yml
name: Codex PR review

on:
  pull_request:
    types: [opened, synchronize, reopened]

permissions:
  contents: read
  pull-requests: write

jobs:
  review:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

PR 자동 리뷰 — codex-review.yml (Codex 실행 스텝)

# (계속) .github/workflows/codex-review.yml
      - name: Run Codex review
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          model: gpt-5.3-codex-spark
          sandbox: read-only
          prompt: |
            이 PR 의 diff 를 검토하고 다음 세 관점의 리뷰를 남겨라.
            1) 기능 정합성 · 실패 가능한 엣지
            2) 보안 (secret · 인증 · 입력 검증)
            3) 성능 · 회귀 가능성
            중요도 상위 5 개만, 파일 경로와 라인 번호를 함께 표기.

        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          model: gpt-5.3-codex-spark
          permission-profile: read-only   # legacy sandbox: read-only 대체

PR 리뷰 — 결정 지점 3

릴리스 노트 자동 생성 — codex-release-notes.yml

# .github/workflows/codex-release-notes.yml
name: Codex release notes
on:
  release:
    types: [created]
permissions:
  contents: write
jobs:
  notes:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with: { fetch-depth: 0 }
      - name: Draft release notes
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          model: gpt-5.3-codex-spark
          sandbox: workspace-write
          prompt: |
            이전 태그~이번 태그 커밋 히스토리로 사용자 관점 changelog 작성.
            섹션 [기능 추가][수정][파괴적 변경][내부 개선], 각 한 줄·PR 번호 표기.
            결과를 RELEASE_NOTES.md 에 저장.

자동 리팩토링 — codex-refactor.yml (트리거·게이트·체크아웃)

# .github/workflows/codex-refactor.yml
name: Codex refactor on label

on:
  pull_request:
    types: [labeled]
    paths:
      - 'src/**'
      - 'lib/**'

jobs:
  refactor:
    if: github.event.label.name == 'codex/refactor'
    runs-on: ubuntu-latest
    permissions:
      contents: write
      pull-requests: write
    steps:
      - uses: actions/checkout@v4

자동 리팩토링 — codex-refactor.yml (Codex 실행 스텝)

# (계속) .github/workflows/codex-refactor.yml
      - name: Codex refactor
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          model: gpt-5.3-codex-spark
          sandbox: workspace-write
          prompt: |
            변경된 파일들을 대상으로 다음 규약대로 리팩토링하라.
            - 함수 길이 40 줄 초과 → 분리
            - 매직 넘버 → 상수화
            - 사이드이펙트 함수 → 순수 함수로 이관
            결과를 커밋으로 남기고 커밋 메시지에 근거를 표기.

트리거 조건 3종 — 러너·API 비용 절감

승인 게이트 — 3층 방어

workspace-write 이상 모드에서 Codex 가 커밋 · 푸시 · PR 을 만들 수 있는 순간, 사람 승인 없이 리포가 바뀌는 위험이 생긴다. GitHub 이 제공하는 세 가지 게이트를 조합한다.

Environment 승인 게이트 — 실전 YAML

jobs:
  refactor:
    runs-on: ubuntu-latest
    environment:
      name: codex-write
      url: https://github.com/${{ github.repository }}/pulls
    steps:
      # ... codex-action 단계

📖 GitHub Docs · Using environments for deployment

Secrets 관리 3원칙

📖 GitHub Docs · Encrypted secrets

PART 3

MCP 통합 — 세 컨텍스트에서 재사용

MCP 재사용 3곳 · Codex 에 서버 등록 · CI 러너 안에서 · Codex Web 제약.

MCP 는 세 곳에서 재사용된다

한 번 만든 서버가 세 실행 컨텍스트에서 그대로 재사용 된다. MCP 재사용의 핵심 이점.

📖 OpenAI · Codex MCP · OpenAI · Codex Configuration Reference

Codex 에 MCP 등록 — stdio 서버

Codex 의 MCP 설정은 ~/.codex/config.toml 에 담긴다. 프로젝트 단위로 격리하고 싶으면 .codex/config.toml 을 리포 루트에 두되, 반드시 신뢰된(trusted) 프로젝트 로 등록.

# ~/.codex/config.toml
[mcp_servers.slack_summary]
command = "python"
args = ["-m", "slack_summary_bot.server"]
env_vars = [
  { name = "SLACK_BOT_TOKEN", source = "env" },
  { name = "SLACK_APP_TOKEN", source = "env" },
]

[mcp_servers.rag_indexer]
command = "python"
args = ["-m", "rag_indexer.server"]
env_vars = [
  { name = "OPENAI_API_KEY", source = "env" },
]

등록 후 확인.

codex mcp list                 # 등록된 서버 목록
codex mcp get slack_summary    # 특정 서버 설정 확인

Codex 에 MCP 등록 — streamable-http 서버

원격 SaaS 형태 MCP 서버는 URL 로 등록한다.

[mcp_servers.figma]
url = "https://mcp.figma.com/v1"
bearer_token_env_var = "FIGMA_MCP_TOKEN"

bearer_token_env_var 는 토큰 값이 아니라 env var 이름 문자열을 담는다. 실제 값은 실행 시점에 환경 변수에서 읽어 오므로 리포·설정 파일에 secret 이 남지 않는다.

CI 에서 MCP 사용 — 워크플로 안 등록

GitHub Actions 러너 안에서도 MCP 서버를 붙일 수 있다. 러너 홈에 config.toml 을 만들거나 action input 으로 넘긴다.

- name: Codex with MCP
  uses: openai/codex-action@v1
  env:
    SLACK_BOT_TOKEN: ${{ secrets.SLACK_BOT_TOKEN }}
    RAG_DB_URL: ${{ secrets.RAG_DB_URL }}
  with:
    openai-api-key: ${{ secrets.OPENAI_API_KEY }}
    model: gpt-5.3-codex-spark
    sandbox: workspace-write
    codex-args: |
      --config mcp_servers.slack_summary.command=python
      --config mcp_servers.slack_summary.args=["-m","slack_summary_bot.server"]
    prompt: |
      최근 24 시간의 #general 채널 요약을 Slack 요약봇 MCP 로 가져오고,
      리포에 새 커밋으로 요약을 붙여라.

Codex Web — streamable-http 만

chatgpt.com/codex 의 웹 UI 에서도 MCP 를 붙일 수 있다. 단, stdio 서버는 못 붙인다. 웹은 브라우저 안이라 서브프로세스를 띄울 수 없어서다. 원격에 떠 있는 streamable-http 서버만 가능.

웹 UI 등록 순서. Settings → MCP servers → Add server → URL · Bearer token 입력 → 검증. 등록된 서버는 Codex Web 세션에서 사용 가능한 도구로 자동 노출.

실무 배치 패턴.

로컬 개발             → stdio MCP (~/.codex/config.toml)
CI / GitHub Actions   → stdio MCP (러너 안에 코드 함께 체크아웃)
Codex Web (팀 공유)   → streamable-http MCP (원격 배포된 서버 URL)

📖 OpenAI · Codex MCP · Transports

PART 4

병렬 세션 오케스트레이션 — git worktree

왜 병렬인가 · worktree 기본 · Codex 배치 · 비용 관찰.

왜 병렬이 필요한가 — 세 가지 격리

바이브코딩이 손에 붙으면 자연히 여러 태스크를 동시에 굴리고 싶어진다. "이 세션은 인증 리팩토링, 저 세션은 문서 정리, 또 하나는 CI 최적화" 처럼.

🎨 이미지 프롬프트: "Editorial illustration on dark navy #0f1722 background showing one repository icon on the left connected to three parallel worktree directories on the right. Each worktree runs its own coding session, and each session has a branch name tag hanging next to it. Between the repository and the worktrees, thin teal lines suggest shared git history. Clean editorial illustration style, teal #00b894 and purple #6c5ce7 accents, 16:9. CRITICAL: All visible text MUST be in English ONLY (no Korean characters). Each label appears EXACTLY ONCE — no duplicates. No mirrored or reversed text."

worktree — 세 격리를 한 도구로

git worktree — 기본 · Claude Code 내장

git 자체가 오래전부터 제공한 기능이지만, 손 감각을 잡기 어려워 잘 안 쓰였다. 2026년 2월 Claude Code v2.1.49 이후 worktree 가 CLI 에 내장 되면서 실전에서 편해졌다.

# 현재 리포에 새 worktree 추가
git worktree add \
  ../myapp-auth-refactor \
  feature/auth-refactor

# 목록
git worktree list

# 제거
git worktree remove ../myapp-auth-refactor

# 세션을 자동으로 새 worktree 안에서 시작
claude --worktree auth-refactor

# .claude/worktrees/auth-refactor 아래에
# 격리된 작업 공간 생성

📖 Claude Code · Run parallel sessions with worktrees

Codex + worktree — 새벽 배치 3개

# 사전에 worktree 3 개 준비
git worktree add ../myapp-a feature/lint-cleanup
git worktree add ../myapp-b feature/deps-upgrade
git worktree add ../myapp-c feature/docstring-fill

# 각 worktree 에서 병렬 실행
(cd ../myapp-a && codex exec --sandbox workspace-write \
   "린트 경고 전부 잡고 PR 초안") &

(cd ../myapp-b && codex exec --sandbox workspace-write \
   "종속성 패치 릴리스 반영, 브레이킹 체인지 검토") &

(cd ../myapp-c && codex exec --sandbox workspace-write \
   "docstring 누락된 public 함수 채우기") &

wait

리소스·비용 관찰 — 지표 3종

병렬 세션은 편의가 큰 만큼 비용도 빨리 붙는다. 세 가지 지표를 매일 확인.

PART 5

승인 게이트·위험 감지 — 조밀한 안전망

위험한 변경 3종 · 위험 감지 워크플로 · 승인 정책 · 사고 회피 3사례.

위험한 변경 3종 — 자동 감지 대상

자동화가 편해질수록 사람이 놓치는 변경이 늘어난다. 특히 위험한 세 카테고리는 워크플로가 자동으로 감지해 사람 승인 게이트로 보낸다.

위험 감지 워크플로 ① — scan job

scan job 이 변경된 파일 경로를 정규식으로 훑어 danger outputs 을 세팅한다.

# .github/workflows/codex-danger-gate.yml
name: Codex danger gate
on:
  pull_request:
    types: [opened, synchronize]
jobs:
  scan:
    runs-on: ubuntu-latest
    outputs:
      danger: ${{ steps.detect.outputs.danger }}
    steps:
      - uses: actions/checkout@v4
        with: { fetch-depth: 0 }
      - id: detect
        run: |
          CHANGED=$(git diff --name-only origin/${{ github.base_ref }}...HEAD)
          echo "$CHANGED" | grep -qE '(migrations/|schema\.sql|alembic/|auth/|crypto/|secrets/)' \
            && echo "danger=true"  >> $GITHUB_OUTPUT \
            || echo "danger=false" >> $GITHUB_OUTPUT

위험 감지 워크플로 ② — gate job

gate job 은 scan 결과가 true 일 때만 발화하며, Environment 로 리뷰어 승인을 강제한다.

  gate:
    needs: scan
    if: needs.scan.outputs.danger == 'true'
    runs-on: ubuntu-latest
    environment:
      name: dangerous-changes
    steps:
      - name: Notify reviewers
        run: |
          echo "Dangerous change detected. Awaiting reviewer approval."

라벨 · CODEOWNERS · 정책

승인 게이트의 세 부품(라벨 · 리뷰어 · 정책)을 팀 규약으로 못 박는다.

# .github/CODEOWNERS
migrations/     @db-admins @backend-leads
auth/           @security-team
crypto/         @security-team
src/api/**      @api-owners
docs/           @tech-writers

사고 회피 사례 3 — 실전 관찰

자동화가 커질수록 사고도 커진다. 실전에서 반복 관찰되는 세 사례.

PART 6

미니 실습·정리 — 손에 붙이기

실습 2개 (codex-action 워크플로 붙이기 · MCP 서버 등록) · 세션 정리 한 문장.

실습 1 — codex-action 워크플로 붙이기

# 1. 자기 사이드 리포에 파일 생성
mkdir -p .github/workflows
# codex-review.yml 을 리포에 붙인다 (앞 슬라이드의 YAML 그대로)

# 2. Secret 등록
#    GitHub 웹 UI 에서 Settings → Secrets → Actions
#    OPENAI_API_KEY 등록

# 3. 커밋 · 푸시
git add .github/workflows/codex-review.yml
git commit -m "ci: add codex PR review workflow"
git push

# 4. 아무 PR 하나 열어서 리뷰가 붙는지 관찰

실습 2 — MCP 서버 등록

# ~/.codex/config.toml
[mcp_servers.echo]
command = "python"
args = ["-c", "import sys; sys.stdout.write('hello mcp')"]

codex mcp list
codex mcp get echo

마무리 — 한 문장으로

참여자 리포에 codex-action 이 붙어 PR 리뷰가 자동으로 뜨고, 로컬에서 만든 MCP 서버가 Codex 에서도 그대로 연결되고, worktree 로 병렬 세션을 굴린다 — 이 세 가지가 이번 세션의 도달점이다.

codex-action YAML 을 쓸 때, MCP 서버를 등록할 때, worktree 를 열 때 이 세 가지를 점검한다.

🎨 이미지 프롬프트: "Editorial illustration on dark navy #0f1722 background showing a bright pipe flowing from a laptop on the left to a runner container on the right, similar to the cover but with three padlock icons stacked on top of the pipe. Each padlock has a small English label above it — 'Trigger', 'Approve', 'Log'. A short English caption at the bottom reads 'Three keys on the CI door'. Clean editorial illustration style, teal #00b894 and purple #6c5ce7 accents, 16:9. CRITICAL: All visible text MUST be in English ONLY (no Korean characters). Each label appears EXACTLY ONCE — no duplicates. No mirrored or reversed text."