Если времени на тестирование нового функционала почти нет и можно выполнить только два тест-кейса, какие выберете?

Выбрал бы основной пользовательский сценарий и проверку самого опасного отказа: потери денег, данных, доступа или нарушения ключевого ограничения. Конкретная пара зависит от рисков функции.

Сначала уточните назначение изменения и последствия ошибки. Для оплаты это могут быть успешная покупка с корректной суммой и защита от повторного списания; для доступа — разрешённое действие и запрет чужого ресурса. Это примеры, а не универсальные два теста. Зафиксируйте непроверенные риски и ограниченность результата: два успешных прогона не означают готовность всей функции.