GitLab 已發布其 DevSecOps 平台第 19.2 版，新增以代理為主的自動化功能，針對因 AI 程式碼工具產生超過開發人員所能檢查的程式碼而累積的安全與審查工作。本次發布於 2026 年 7 月 16 日公布，將四項功能自測試版推出或進入公開測試版：Dependency Scanning Auto-Remediation、Security Review Flow、GitLab Duo CLI 以及 Custom Flows。

該公司將此版本定位為因應先前所稱的「AI 悖論」，即 AI 輔助程式設計產生更快速的變更流程，而安全與審查流程無法吸收。在公告中，GitLab 首席產品暨行銷長 Manav Khurana 闡述了本次發布的思考。

Coding agents made it possible to generate far more code and moved the bottleneck downstream to reviews and security.
Manav Khurana, GitLab

GitLab Dependency Scanning

Dependency Scanning Auto-Remediation 現已進入公開測試版，當掃描發現有漏洞的相依性時，會開啟合併請求並建議安全的版本。若更新導致建置失敗，代理會在同一合併請求中持續迭代，直到管線通過，這項功能被 GitLab 稱為 Agentic Breaking Change Resolution。根據 GitLab 19.2 版本說明，對 Maven 生態系的研究發現，漏洞透過團隊未直接選擇的傳遞性相依性影響約 63% 的最新版本，而大約八分之一的相依性更新會自行引入破壞性變更。

GitLab 開發者倡議者 Fernando Diaz 在配套的影片示範中展示了此功能。Diaz 展示了在範例專案上端對端執行的設定：相依性掃描標記了數個有漏洞的套件，自動產生五個合併請求，其中一個管線失敗的請求透過在合併請求上選擇「resolve breaking changes with Duo」按鈕解決。他指出，維護者仍須審查並核准每項變更才能合併，因此自動化移除了手動修補工作，同時保留了檢查點。

Security Review Flow 同樣進入公開測試版，可尋找模式比對掃描器容易遺漏的邏輯缺陷，包括授權檢查失效、大量指派以及競爭條件。團隊指派 Duo Security Review 服務帳戶作為審查者，該流程會以討論串留言方式張貼發現結果，附上嚴重性評級，並在可能的情況下提供建議修正。GitLab 明確表示該流程不會自行核准合併請求，仍由人員做出最終決定。

GitLab Duo CLI 在本次發布中達到一般可用性，將代理帶入終端機，讓代理能了解專案、其管線以及現有的代理設定。Custom Flows 也達到一般可用性，讓團隊能以 YAML 建構自己的自動化，並從 GitLab 事件觸發，而非等待 GitLab 提供內建流程。開發者倡議者 Daniel Helfand 在另一部影片中展示了此功能，建構了一個流程，可回答新建立工作項目中的開放問題，並回報每個答案的信心分數，將未解決的問題留給人類審查者處理。

GitLab 19.2 puts agents to work on that bottleneck: fixing vulnerable dependencies, catching the flaws scanners miss, and automating the steps in between with a person still approving what ships.
Manav Khurana, GitLab

除了新功能外，GitLab 還新增了處於測試版的 AI Audit Event Report，會將代理活動記錄為專用的稽核事件，以利合規與事件審查，以及新的 MCP 存取控制，用於管理哪些代理可以執行以及可以存取哪些系統。GitLab 也引用其委託 Forrester Consulting 進行的研究，根據公告指出，使用 Duo Agent Platform 的組織可達到 400% 的投資報酬率，且在六個月內即可回收成本。

InfoQ 近期已報導 GitLab 的 AI 發布；Duo Agent Platform 於 2026 年 1 月在 GitLab 18.8 達到一般可用性，此前於 2025 年 8 月進入公開測試版。在 GitLab 19.0 中，代理式 AI 進入機密管理和合併請求工作流程，而 GitLab 18.10 與 18.11 則引進了自動化程式碼審查的固定費率定價。19.2 版進一步將此軌跡延伸至安全性修復。

並非社群中的每位成員都認為代理式工具值得切換。在 Reddit 的 r/gitlab 社群中，一位使用者將 Duo 與 Claude Code 比較，表示 Duo「因其整合性而 legit」，但「Claude Code 的 UI 更好」。另一位使用者在另一個討論串中表示，他們團隊計劃繼續使用代理模式，因為「似乎變得更可靠且更快」，同時對在團隊中擴展的成本表示擔憂。

產業評論員 Alan Shimel 在 LinkedIn 貼文中提出更廣泛的問題，提及公司朝向代理式 AI 的「Act 2」轉型，並詢問 GitLab 是否能在不失去「使其最初特別的文化基礎設施」的情況下邁向 AI 原生未來。關於在轉向自主代理的過程中，治理與透明度能保留多少的問題，正是 GitLab 試圖透過 19.2 版中內建的稽核與核准控制來展示的核心。

GitLab 19.2 已現已推出。

About the Author

Matt Saunders