Рефакторинг звучит как безопасная работа: меняем форму, поведение оставляем. Из этого определения вырастает опасное следствие - раз поведение не меняется, проверять вроде бы нечего. Именно здесь и прячется главная ловушка: "поведение сохранено" - это утверждение, а всякое утверждение либо измерено, либо остаётся гипотезой в удобной формулировке.

Наивный ход - довериться намерению. Мы собирались только переставить и переименовать, значит снаружи всё как было; агент аккуратен, diff выглядит механическим. Эта уверенность растёт из того, что рефакторинг ощущается как перекладывание, а не как изменение. Но модель не знает, что вы "собирались только переставить" - она видит код и вольна тронуть больше, чем вы держали в голове.

Ломается это на границе между внутренней структурой и публичным контрактом. Пока не выписано, что именно считается наблюдаемым поведением, разделить "поменяли только форму" и "заодно поменяли смысл" нечем. Поэтому первый шаг - перечислить публичные контракты: сигнатуры, сериализуемые формы данных, ошибки и исключения, побочные эффекты и чувствительные к производительности пути. Это и есть тот периметр, который рефакторинг обязан оставить неподвижным.

Второй шаг - сделать сохранность измеримой до того, как начнётся перекладывание. Инструмент для этого - characterization tests: тесты, фиксирующие текущее поведение как есть, включая его странности, ещё до изменения структуры. Они отвечают не на вопрос "как должно быть", а на вопрос "как есть сейчас", и именно поэтому служат эталоном: если после рефакторинга они всё ещё зелёные, наблюдаемое поведение на покрытом периметре не сдвинулось.

Само изменение ведут малыми компилируемыми шагами, а не одним большим прыжком. Каждый шаг оставляет код собранным и тесты зелёными, так что регрессия локализуется тем шагом, на котором появилась, а не ищется во всём diff разом. Крупный монолитный рефактор лишает вас этой локализации: когда сломалось всё сразу, непонятно, какое из десяти изменений виновато, и цена разбора превышает цену самой перестройки.

Отдельно стоит жёстко запретить работу "заодно". Обновить версии зависимостей, переформатировать весь репозиторий, подчистить соседние файлы - каждое из этих действий по отдельности безобидно, но подмешанное в рефакторинг, оно уничтожает главное его свойство: возможность утверждать, что поведение не менялось. Полезный приём - потребовать отдельный отчёт о намеренных изменениях поведения; при честном рефакторинге он пуст, а пустой отчёт легко сверить с diff и тестами. Такой отчёт полезен и как дисциплина мышления: чтобы честно написать "намеренных изменений поведения нет", агент вынужден сам просмотреть свой diff на предмет незамеченного - и часто именно тут всплывает то самое "заодно".