Was ist Open Code Review?
Open Code Review (der Befehl ocr) ist die Open-Source-Veröffentlichung des KI-Review-Assistenten, den Alibaba nach eigenen Angaben seit zwei Jahren intern nutzt. Er liest einen Git-Diff, entscheidet deterministisch, welche Dateien geprüft werden müssen, bündelt zusammengehörige Dateien zu Einheiten, die jeweils als isolierter Subagent laufen, ordnet jeder Datei Review-Regeln zu und lässt einen LLM-Agenten den umgebenden Code lesen, bevor er strukturierte, zeilengenaue Kommentare schreibt. ocr scan prüft ganze Dateien, wo es keinen sinnvollen Diff gibt.
Er funktioniert mit jedem OpenAI- oder Anthropic-kompatiblen Endpunkt oder übergibt im Delegationsmodus das Review an das Modell deines Coding-Agenten, während er selbst Dateiauswahl und Regeln übernimmt. Plugins gibt es für Claude Code, Codex, Cursor, Kimi Code und OpenCode, CI-Rezepte für GitHub Actions, GitLab CI, GitFlic und Gerrit. Ein eingebautes Regelwerk zielt auf Nullzeiger-, Thread-Safety-, XSS- und SQL-Injection-Fehler.
Das Repository wurde im Mai 2026 angelegt, ist in Go unter Apache-2.0 geschrieben, hat etwa 49.200 GitHub-Sterne und steht bei v1.13.3 (22. Oktober 2026); installiert wird es mit npm install -g @alibaba-group/open-code-review.
Lohnt sich Open Code Review?
Open Code Review geht von einer scharfen Diagnose aus: Ein allgemeiner Coding-Agent, der eine große Änderung prüfen soll, überspringt Dateien, setzt Kommentare an die falsche Stelle und schwankt schon bei kleinen Prompt-Änderungen. Die Antwort ist, dem Modell die Schritte abzunehmen, die nicht schiefgehen dürfen. Code entscheidet, welche Dateien geprüft werden, gruppiert zusammengehörige (ein Paar Properties-Dateien message_en und message_zh wandert zusammen), wählt die Regeln für jede und prüft die Kommentarpositionen in einem eigenen Modul. Dem Modell bleibt, den Kontext zu lesen und zu urteilen.
Der eigene Benchmark des Projekts stützt diesen Kompromiss, mit dem üblichen Vorbehalt, dass er selbst gemeldet ist. AACR-Bench, veröffentlicht auf Hugging Face, nutzt 200 echte Pull Requests aus 50 Open-Source-Repositories in 10 Sprachen, mit 1.505 Problemen, die mehr als 80 Ingenieure annotiert haben. Gegenüber Claude Code mit demselben Modell meldet OCR höhere Precision und F1 bei etwa einem Neuntel der Tokens und sagt offen, dass sein Recall geringer ist. Für ein Team, das in Bot-Kommentaren ertrinkt, ist das die richtige Richtung, in die man sich irren kann.
Im Betrieb verhält es sich ordentlich. Telemetrie ist standardmäßig aus und exportiert, wenn eingeschaltet, OpenTelemetry an einen Collector deiner Wahl. Sitzungen lassen sich fortsetzen, Ergebnisse als JSON schreiben, und ein Browser-Viewer markiert Befunde als behoben oder ignoriert. Der Delegationsmodus ist der günstigste Einstieg: kein zusätzlicher API-Schlüssel, weil dein vorhandener Agent das Lesen übernimmt.
Die Vorbehalte sind Tempo und Passform. Sieben Monate alt, mit 367 offenen Issues und Pull Requests und fast jede Woche einem Minor-Release, bewegt es sich schneller, als die meisten CI-Werkzeuge sollten. Das Modell muss natives Tool Calling unterstützen, was Reasoning-Modelle wie deepseek-r1 ausschließt, die Aufrufe als Text erzählen. Gegenüber gehosteten Reviewern wie CodeRabbit bietet es Kontrolle über Modell und Datenweg und verliert das verwaltete Dashboard und das Lernen über das ganze Repository.
Wo es sich lohnt
Ein Plattformteam mit 12 Java-Entwicklern auf GitLab
KI-Review zu jedem Merge Request hinzufügen, ohne ihn mit Rauschen zu fluten
ocr review in GitLab CI auf dem Bereich ab merge-base gegen einen internen OpenAI-kompatiblen Endpunkt laufen lassen; die eingebauten Regeln finden Nullzeiger- und Thread-Safety-Fehler. Der Token-Verbrauch wird pro Review ausgewiesen, die Kosten pro Merge Request lassen sich also verfolgen.
Ein Solo-Entwickler, der schon für Claude Code zahlt
Einen zweiten Review-Durchgang vor dem Öffnen eines Pull Requests
Das Claude-Code-Plugin installieren und den Delegationsmodus nutzen, sodass OCR Dateien und Regeln wählt, während Claude liest. Keine zusätzliche API-Rechnung; die Review-Zeit geht von den Limits des bestehenden Abos ab.
Ein Security Engineer, der einen unbekannten Dienst übernimmt
Die Codebasis ohne brauchbaren Diff auf Injection- und XSS-Probleme prüfen
ocr scan --path auf dem Dienstverzeichnis mit JSON-Ausgabe ausführen und die Befunde dann im Session-Viewer sichten. Die auf Precision ausgelegte Abstimmung bedeutet weniger Fehlalarme, aber keinen Anspruch auf vollständige Abdeckung.
Bevor du dich festlegst
- Einrichtung
- npm install -g @alibaba-group/open-code-review (oder ein Release-Binary), Git 2.41 oder neuer, dann ocr config provider und ocr config model; das erste Review ist ocr review in einem Repo. Vorhandene Variablen ANTHROPIC_BASE_URL und ANTHROPIC_AUTH_TOKEN werden automatisch übernommen.
- Integrationen
- OpenAI- und Anthropic-kompatible Endpunkte, Ollama mit Tool-fähigen Modellen; Plugins für Claude Code, Codex, Cursor, Kimi Code, OpenCode und ein portabler Agent Skill; GitHub Actions, GitLab CI, GitFlic CI und Gerrit; MCP-Server zur Erweiterung des Agenten; eine IntelliJ-Erweiterung im Repo.
- Daten und Datenschutz
- Geänderte Dateien und der Kontext, den der Agent liest, gehen nur an den konfigurierten LLM-Endpunkt; die Konfiguration liegt in ~/.opencodereview/config.json. Telemetrie ist standardmäßig aus und geht nur an einen OTLP-Collector, den du festlegst. Apache-2.0.
- Kosten im großen Maßstab
- Keine kostenpflichtige Edition. Kosten sind LLM-Tokens pro Review, laut Anbieter in seinem Benchmark etwa ein Neuntel dessen, was ein allgemeiner Agent braucht; der Delegationsmodus verlagert die Kosten in ein bestehendes Abo für einen Coding-Agenten.
- Grenzen
- Der Recall ist bewusst geringer als bei einem allgemeinen Agenten; Modelle ohne natives Function Calling laufen in Schleifen bis Max tool requests; schneller Release-Takt; Benchmark nicht unabhängig repliziert.
Was gut ist
- Deterministische Dateiauswahl und Bündelung bei großen Diffs
- Selbst gemeldeter Precision-Gewinn bei etwa 1/9 der Tokens
- Delegationsmodus nutzt das Modell deines Coding-Agenten
- Telemetrie standardmäßig aus; OpenTelemetry, wenn aktiviert
Was nicht
- Absichtlich geringerer Recall; übersieht mehr als ein allgemeiner Agent
- Der Benchmark stammt vom Anbieter selbst
- Braucht natives Tool Calling; manche lokalen Modelle scheitern
- 367 offene Issues und Pull Requests, wöchentliche Releases
Am besten für
Engineering-Teams, die präzises, zeilengenaues KI-Review in der CI oder im Terminal wollen, mit einem Modell und Endpunkt unter eigener Kontrolle.
Alternativen zu Open Code Review
Open Code Review: häufige Fragen
- Lohnt sich Open Code Review?
- Open Code Review behebt die konkreten Arten, wie Coding-Agenten beim Review scheitern, übersprungene Dateien und verrutschte Zeilennummern, und tauscht etwas Recall gegen Kommentare, die das Lesen lohnen. Wir bewerten es mit 4.1 von 5.
- Was kostet Open Code Review?
- Kostenlos und Open Source (Apache-2.0). Du zahlst für den LLM-Endpunkt, den du konfigurierst; der Delegationsmodus nutzt stattdessen das vorhandene Modell deines Coding-Agenten.
- Welche Nachteile hat Open Code Review?
- Absichtlich geringerer Recall; übersieht mehr als ein allgemeiner Agent; Der Benchmark stammt vom Anbieter selbst; Braucht natives Tool Calling; manche lokalen Modelle scheitern; 367 offene Issues und Pull Requests, wöchentliche Releases.
- Für wen eignet sich Open Code Review?
- Engineering-Teams, die präzises, zeilengenaues KI-Review in der CI oder im Terminal wollen, mit einem Modell und Endpunkt unter eigener Kontrolle.
- Was kostet Open Code Review für ein Team oder im Produktivbetrieb?
- Keine kostenpflichtige Edition. Kosten sind LLM-Tokens pro Review, laut Anbieter in seinem Benchmark etwa ein Neuntel dessen, was ein allgemeiner Agent braucht; der Delegationsmodus verlagert die Kosten in ein bestehendes Abo für einen Coding-Agenten.
- Ist Open Code Review sicher für Firmendaten?
- Geänderte Dateien und der Kontext, den der Agent liest, gehen nur an den konfigurierten LLM-Endpunkt; die Konfiguration liegt in ~/.opencodereview/config.json. Telemetrie ist standardmäßig aus und geht nur an einen OTLP-Collector, den du festlegst. Apache-2.0.
- Was sind die besten Alternativen zu Open Code Review?
- Die nächsten Alternativen, die wir getestet haben, sind OpenAI Codex CLI und OpenCode.
Antworten geprüft am 31. Okt. 2026.