GitLab 已发布其 DevSecOps 平台 19.2 版，新增面向安全和审查工作的代理式自动化功能，这些工作因 AI 编码工具生成的代码量超出开发者手工审查能力而不断堆积。该版本于 2026 年 7 月 16 日发布，推出四项脱离 beta 或进入公开 beta 的功能：Dependency Scanning Auto-Remediation、Security Review Flow、GitLab Duo CLI 以及 Custom Flows。

该公司将此次发布定位为应对其此前所称的“AI 悖论”，即 AI 辅助编码产生的变更流速度快于安全和审查流程所能吸收的速度。在公告中，GitLab 首席产品与营销官 Manav Khurana 阐述了此次发布的背后思路。

编码代理使生成更多代码成为可能，并将瓶颈转移到下游的审查和安全环节。
Manav Khurana，GitLab

GitLab Dependency Scanning

Dependency Scanning Auto-Remediation 现已进入公开 beta 阶段，当扫描发现易受攻击的依赖项时会自动打开合并请求并提出安全版本建议。若更新导致构建失败，代理会在同一合并请求中迭代，直到管道通过，GitLab 将此能力称为 Agentic Breaking Change Resolution。根据 GitLab 19.2 发布说明，对 Maven 生态系统的研究发现，约 63% 的最新版本通过团队从未直接选择的传递性依赖引入漏洞，且约八分之一的依赖更新会引入自身破坏性变更。

GitLab 开发者布道师 Fernando Diaz 在配套的视频演示中介绍了该功能。Diaz 展示了在一个示例项目上从头到尾运行的情况：依赖扫描标记出多个易受攻击的包，自动生成五个合并请求，其中一个管道失败的请求通过在合并请求上点击“使用 Duo 解决破坏性变更”按钮得到解决。他指出，维护者仍需审查并批准每一项变更才能合并，因此自动化移除了手动修补工作，但保留了检查点。

Security Review Flow 同样处于公开 beta 阶段，旨在发现模式匹配扫描器通常会遗漏的逻辑缺陷，包括授权检查失效、批量赋值以及竞态条件。团队可将 Duo Security Review 服务账号指定为审查者，该流程会以线程式评论形式发布发现，并附带严重性评级及可能的修复建议。GitLab 明确表示该流程不会自行批准合并请求，最终决定仍由人工做出。

GitLab Duo CLI 在本版本中达到正式发布阶段，将代理带入终端，使其能够感知项目、管道及现有代理配置。Custom Flows 也达到正式发布阶段，允许团队用 YAML 构建自己的自动化流程，并通过 GitLab 事件触发，而无需等待 GitLab 提供内置流程。开发者布道师 Daniel Helfand 在另一段视频中演示了这一功能：他构建了一个流程，在新创建的工作项上回答开放性问题，并为每个答案报告置信度分数，将未解决的问题留给人工审查者处理。

GitLab 19.2 将代理投入到这一瓶颈的处理中：修复易受攻击的依赖、捕捉扫描器遗漏的缺陷，并自动化中间步骤，同时仍由人工批准最终发布内容。
Manav Khurana，GitLab

除了新功能外，GitLab 还新增了处于 beta 阶段的 AI Audit Event Report，将代理活动记录为专用的审计事件，以支持合规和事件审查；同时新增 MCP 访问控制，用于管理哪些代理可以运行以及它们可以访问哪些系统。GitLab 还引用了其委托 Forrester Consulting 进行的一项研究，该研究发现，使用 Duo Agent Platform 的组织可实现 400% 的投资回报率，且回本期少于六个月。

InfoQ 此前已报道过 GitLab 的 AI 版本发布：Duo Agent Platform 在 2026 年 1 月的 GitLab 18.8 中达到正式发布，此前于 2025 年 8 月进入公开 beta。在 GitLab 19.0 中，代理式 AI 扩展到密钥管理和合并请求工作流；GitLab 18.10 和 18.11 引入了自动化代码审查的统一费率定价。19.2 版进一步将这一轨迹延伸至安全修复领域。

并非所有社区成员都确信代理工具值得切换。在 Reddit 的 r/gitlab 社区中，一位用户将 Duo 与 Claude Code 进行比较，表示 Duo 的集成“确实很棒”，但“Claude Code 的 UI 更好”。另一用户在单独的帖子中表示，他们团队计划继续使用代理模式，因为它“似乎变得更加可靠且更快”，同时也对在团队范围内扩展的成本表示担忧。

行业评论员 Alan Shimel 在 LinkedIn 帖子中提出了更广泛的问题，提到了公司向代理式 AI 的“Act 2”转型，并询问 GitLab 是否能够在迈向 AI 原生未来的过程中“保留使其最初与众不同的文化基础设施”。关于在转向自主代理时能保留多少治理和透明度的问题，正是 GitLab 试图通过 19.2 版中内置的审计和批准控制来展示的核心所在。

GitLab 19.2 现已可用。

关于作者

Matt Saunders