GitLabがGitLab 19.2をリリース
GitLab Inc.
- 依存関係スキャン自動修正機能のパブリックベータ版を提供開始し、脆弱な依存関係の修正を自動化- セキュリティレビューフローのパブリックベータ版を提供開始し、パターンベースのスキャナーが見逃すロジック欠陥を検出- GitLab Duo CLIおよびカスタムフローの一般提供を開始し、ターミナルからの操作やチーム全体でのエージェント型自動化を実現
最も包括的かつインテリジェントなエンタープライズDevSecOpsプラットフォームでソフトウェアイノベーションを実現する
GitLab（本社：米サンフランシスコ、読み方：ギットラボ、NASDAQ：GTLB）は、GitLab 19.2のリリースを発表しました。
AIによるコード生成のスピードが高まる一方で、生み出されたコードや依存関係、変更の安全確認と修正が追いつかず、開発の下流工程に作業が滞留しています。GitLab 19.2は、脆弱な依存関係の自動修正、従来のスキャナーが見逃してきたロジック上の欠陥の検出、ターミナルからのAIエージェント活用、そしてチーム全体でのエージェント型自動化を実現し、組織の既存の承認体制を保ったまま、この滞留を解消します。GitLabがForrester Consultingに委託して実施した調査「
The Total Economic Impact(TM) Of GitLab Duo Agent Platform」によると、GitLab Duo Agent Platformを利用する組織は、400%のROI（投資収益率）を達成でき、投資回収期間は6カ月未満とされています。
依存関係スキャン自動修正のパブリックベータ版を提供開始
アプリケーションのセキュリティリスクのうち、チームが直接選んだわけではない依存関係に起因する割合が増加しています。Mavenエコシステムを対象とした調査では、最新リリースの約63%が、他のパッケージを介して間接的に取り込まれる依存関係（推移的依存関係）を通じて脆弱性の影響を受けており、さらに依存関係の更新のおよそ8件に1件が破壊的変更を引き起こしていることが明らかになっています。その一方で、PCI DSSやFedRAMPが定めるコンプライアンス期限に猶予はありません。
依存関係スキャン自動修正は、このギャップを埋めます。セキュリティチームは、デベロッパーの負担を増やすことなく脆弱な依存関係を解消できます。スキャンで脆弱なパッケージが見つかると、GitLabは修正案を添えたマージリクエストを自動的に作成します。アップグレードでビルドが失敗した場合は、エージェントが同じマージリクエスト内で問題を繰り返し修正します。さらに、新しい設定機能により、デベロッパーは修正を適用する重大度のしきい値やバージョンの範囲を指定できます。全ての変更は既存の承認ゲートを通過し、完全な監査証跡が残ります。
セキュリティレビューフローのパブリックベータ版を提供開始
デベロッパーは今後、修正コストが最も低い段階であるマージリクエストの時点で、パターンベースのスキャナーでは構造的に検出できない種類の脆弱性を捉えられます。静的スキャナーは既知のパターンに一致する欠陥の特定を得意とする一方、アプリケーションのロジックに関わる欠陥に対しては、規模に対応できない手作業のレビューや、実施が遅すぎるペネトレーションテスト（侵入テスト）に頼らざるを得ませんでした。
セキュリティレビューフローは、GitLab Duo Agent Platformの基本フローの一つです。既知のパターンとの照合ではなく、コードが本来何を意図しているかを推論し、オブジェクトレベルおよび関数レベルの認可の不備、状態を変更する操作における認可の欠落、情報漏えい、本来変更を許可すべきでない項目まで一括で書き換えられる不備（マスアサインメント）、ビジネスロジックの誤り、競合状態（レースコンディション）を検出します。検出結果には重大度と、可能な場合は修正案が含まれます。ただし、このフローが単独で承認を行うことはなく、最終判断は常に人間が行います。
GitLab Duo CLIの一般提供を開始
デベロッパーは作業の多くをターミナルで行っていますが、これまでAIによる支援を受けるには、GitLabのプロジェクトやパイプライン、エージェント設定を十分に把握していない外部ツールに頼らざるを得ませんでした。GitLab 19.2は、このギャップを埋めます。
GitLab Duo CLIは、GitLab.com、Self-Managed、Dedicatedの各提供形態で一般提供されており、プロジェクト全体の状況を踏まえたGitLab Duo Agent Platformのエージェントを、ターミナルから直接利用できます。また、管理者は組織全体での展開を制御できます。
エージェント型フローが自動化を個人からチーム全体へ拡張
GitLab Duo Agent Platformのエージェント型フローは、複数のエージェントが連携して多段階の作業を完了させる一連の処理です。GitLab 19.2では、この機能が二つの面で進化しています。
第一に、チームが自ら構築するカスタムフローが一般提供となりました。一度フローを構築すれば、GitLab上の操作をきっかけに自動的に実行されます。カスタムフローは、有効期限の短い一時的な認証情報を使って外部サービスに接続するため、長期的な認証情報（鍵）を保存せずに済む方式を採用しています。これにより、クラウドサービスや社内システムと連携する自動処理も、GitLab CI/CDパイプラインで既に信頼されている仕組みをそのまま活用できます。
第二に、GitLabが標準で提供する基本フローが強化されました。近日提供予定のフロー作成エージェントは、自然言語による説明をカスタムフローに変換します。また、改良されたCI/CDパイプライン修正フローは、対応の前に障害を分類したうえで、その場での提案または新規マージリクエストとして的確な修正を提示します。GitLab Duo Agentic Chatは、多段階の作業をエージェントに委任できるようになりました。
自動化の信頼性を支える管理機能
作業を自動化する意義は、チームが自律的な実行を安心して任せられる状態をつくることにあります。GitLab 19.2では、その安全性を組織規模で確保するための管理機能が追加されました。ベータ版として提供するAI監査イベントレポートは、AIによる支援を受けた操作を専用の監査イベントとして記録します。これにより、コンプライアンスチームおよびセキュリティチームは、監査レポートやアクセスレビュー、インシデント調査にAIワークフローを組み込めます。
また、グループレベルのカスタム指示により、管理者はGitLab Duo Code Reviewにおいて、複数のプロジェクトにまたがるレビューの挙動を一括で設定できます。新たなMCP（Model Context Protocol：エージェントが外部ツールと連携する仕組み）アクセス制御では、どのエージェントを実行できるか、そのエージェントがどこまでアクセスできるかを管理できます。
GitLabで最高製品・マーケティング責任者（CPMO）を務めるマナブ・クラナ（Manav Khurana）は次のように述べています。「コーディングエージェントの登場により、生成できるコードの量は飛躍的に増えました。その結果、ボトルネックはレビューとセキュリティの工程へと移っています。GitLab 19.2は、脆弱な依存関係の修正、スキャナーが見逃す欠陥の検出、そしてレビューからリリースまでの工程の自動化にエージェントを活用し、この課題に対応します。ただし、何をリリースするかは今も人間が承認します。」
GitLab 19.2のリリースによって利用できるようになった機能の詳細は、
こちらから確認できます。
プレスリリース提供：PR TIMES
記事提供：PRTimes
