GitLab は DevSecOps プラットフォームの バージョン 19.2 をリリースし、AI コーディングツールが開発者の手作業によるチェック能力を超えるペースでコードを生成した結果として蓄積したセキュリティおよびレビューの作業を対象としたエージェント型自動化を追加しました。2026 年 7 月 16 日に発表されたこのリリースでは、4 つの機能がベータ版から脱却するか、パブリックベータ版に移行しました。Dependency Scanning Auto-Remediation、Security Review Flow、GitLab Duo CLI および Custom Flows です。

同社はこのリリースを、これまで「AI パラドックス」と呼んできた事象への対応として位置づけています。AI 支援によるコーディングが変更の流れを加速させ、セキュリティおよびレビュー工程がそれを吸収しきれなくなるという考え方です。発表の中で、GitLab の最高プロダクト・マーケティング責任者である Manav Khurana は、このリリースの背景にある考え方を説明しました。

Coding agents made it possible to generate far more code and moved the bottleneck downstream to reviews and security.
Manav Khurana, GitLab

GitLab Dependency Scanning

Dependency Scanning Auto-Remediation はパブリックベータ版となり、スキャンで脆弱な依存関係が検出されると安全なバージョンへの変更を提案するマージリクエストを開きます。更新によってビルドが壊れた場合、エージェントが同じマージリクエスト上で繰り返し修正を行い、パイプラインが通るまで試行します。GitLab はこれを Agentic Breaking Change Resolution と呼んでいます。GitLab 19.2 リリースノート によると、Maven エコシステムを調査した結果、脆弱性が推移的依存関係を通じて最新リリースの約 63% に到達しており、チームが直接選択していない依存関係が原因であること、また依存関係の更新の約 8 分の 1 が破壊的変更を伴うことがわかりました。

GitLab の開発者アドボケイト Fernando Diaz が、付属の 動画デモ でこの機能を解説しました。Diaz はサンプルプロジェクトでエンドツーエンドの動作を示し、依存関係スキャンが複数の脆弱パッケージを検出すると 5 つのマージリクエストが自動生成され、パイプラインに失敗した 1 件についてはマージリクエスト上の「resolve breaking changes with Duo」ボタンを押すことで解決される様子を披露しました。メンテナーは依然としてすべての変更をレビュー・承認する必要があるため、自動化は手作業によるパッチ適用を削減しつつ、チェックポイントは維持されると指摘しました。

Security Review Flow もパブリックベータ版です。パターンマッチング型のスキャナが見逃しがちな論理的欠陥（認可チェックの不備、mass assignment、競合状態など）を検出します。チームは Duo Security Review サービスアカウントをレビュアーとして割り当て、フローはその結果を重大度評価付きのスレッドコメントとして投稿し、可能であれば修正案も提示します。GitLab は、このフロー自体がマージリクエストを承認することはないと明言しており、最終判断は人間が行います。

GitLab Duo CLI は本リリースで一般提供（GA）となり、ターミナル上でプロジェクト、パイプラインおよび既存のエージェント設定を認識したエージェントを利用できるようになりました。Custom Flows も一般提供となり、チームが YAML で独自の自動化を構築し、GitLab イベントからトリガーできるようになりました。開発者アドボケイトの Daniel Helfand は 別の動画 でこれをデモし、新規作成された作業項目の未解決質問に回答し、各回答に信頼度スコアを付けて報告するフローを作成し、未解決のものは人間のレビュアーに引き継ぐ例を示しました。

GitLab 19.2 puts agents to work on that bottleneck: fixing vulnerable dependencies, catching the flaws scanners miss, and automating the steps in between with a person still approving what ships.
Manav Khurana, GitLab

新機能に加え、GitLab はベータ版の AI Audit Event Report を追加しました。これはエージェントの活動を専用の監査イベントとして記録し、コンプライアンスやインシデントレビューに活用できるものです。また、どのエージェントが実行可能で、どのシステムにアクセスできるかを制御する新しい MCP アクセス制御も導入されました。GitLab は委託した Forrester Consulting の調査も引用しており、Duo Agent Platform を利用する組織は 400% の投資収益率を達成し、6 ヶ月未満で投資回収できることが発表の中で示されました。

InfoQ は GitLab の AI リリースを最近取り上げており、Duo Agent Platform は 2026 年 1 月の GitLab 18.8 で一般提供 となり、2025 年 8 月に パブリックベータ で開始されました。GitLab 19.0 ではエージェント型 AI がシークレット管理およびマージリクエストワークフローに進出し、GitLab 18.10 および 18.11 で自動コードレビューの定額料金が導入されました。バージョン 19.2 はこの流れをセキュリティ修正までさらに推し進めています。

コミュニティの全員がエージェント型ツールへの移行に納得しているわけではありません。Reddit の r/gitlab コミュニティであるユーザーは Duo を Claude Code と比べて不利に評価し、「統合面では Duo は本物だ」としつつ「Claude Code の UI の方が優れている」と述べました。別のスレッドのユーザーは、チームが引き続き エージェントモードを使用する予定で、「より信頼性が高く高速になっているように見える」と述べつつ、チーム全体へのスケーリングにかかるコストへの懸念を指摘しました。

業界コメンテーターの Alan Shimel は LinkedIn の投稿 で GitLab の方向性についてより広い疑問を投げかけ、同社の「Act 2」によるエージェント型 AI へのシフトに触れ、GitLab が「当初の魅力を支えていた文化的基盤を失わずに AI ネイティブな未来へ移行できるか」と問いました。GitLab が 19.2 で構築した監査および承認制御で示そうとしているのは、まさにこの「自律型エージェントへの移行において、どの程度のガバナンスと透明性が残るか」という問いです。

GitLab 19.2 は 現在利用可能です。

About the Author

Matt Saunders