GitLab Duo Agent Platformで脆弱性の検出から修正までを自動化
GitLabがSASTで検出した脆弱性を、レビュー可能なマージリクエストとして自動的に仕上げるまでの流れをご紹介します。エージェントがコードを読み取り、修正を生成・検証し、変更内容が明確で説明可能なMRを作成する様子をぜひご覧ください。
最新の機能と改善点について、最新情報を入手しましょう。
Duo Agent Platformが無料のGitLab.comアカウントで利用可能に。 エージェント型コードレビューは1回わずか0.25ドル。SAST誤検出判定が一般提供開始。
GitLab.comの無料プランをご利用のチームでも、GitLabクレジットを購入するだけで、AIエージェントやワークフロー、定額制の自動コードレビューといったAI機能をすぐに使い始めることができます。
ブログを読むPremiumやUltimateのサブスクリプションがなくても、エージェント型AIの利用を開始できるようになりました。無料のGitLab.comネームスペースのグループオーナーは、月額のGitLabクレジットコミットメントを購入でき、すべてのメンバーがエージェント、フロー、エージェント型チャットにすぐにアクセスできます。クレジットはグループ全体で共有されるため、利用人数ではなくAIが実行した作業に対して課金されます。この購入パスにより、以下が可能になります:
PremiumやUltimateのお客様と同じエージェントやフローにアクセスできます。 プランナーエージェント、デベロッパーフロー、コードレビューフロー、CI/CDパイプライン修正フロー、エージェント型チャット、コード提案などが含まれます。
グループ全体でクレジットを共有し、使用状況ダッシュボードでエージェントが完了した作業をトラッキングできます。トップコンシューマーでのソート、ユーザー別・アクション別の内訳、CSVエクスポートに対応しています。
グループオーナーがクレジットを購入すると、すべてのメンバーがすぐにDuo Agent Platformの利用を開始できます。
コードレビューフローのコストは、マージリクエストのサイズや複雑さに関係なく、4回のレビューにつきGitLabクレジット1つになりました。この価格であれば、すべてのプロジェクトのすべてのマージリクエストで実行しない理由はありません。トークン数の計算に悩む必要も、AIレビューを優先度の高い変更のために温存する必要もなくなります。この変更により、以下が実現します:
リクエストベースの変動料金に代わり、チームが直接予測できる定額のレビュー単価を提供します。
すべてのグループとプロジェクトで同時に実行でき、各レビューはリポジトリ、パイプライン、セキュリティスキャン結果のコンテキストでコードを分析します。
GitLab.comおよび18.8.4以降を実行しているSelf-Managedインスタンスで、本日よりすぐに利用可能です。
クレジットダッシュボードに、トップコンシューマーの表示、特定セッションの監査、使用状況データのエクスポート機能が追加されました。ユーザーテーブルはクレジット使用量の降順でソートされるため、最も利用の多いユーザーがすぐに確認できます。ユーザー詳細ビューのセッションアクションはクリック可能なリンクになっており、直接監査やデバッグに利用できます。このダッシュボードでは、以下が可能です:
ソート済みユーザーテーブルとユーザー、アクション、イベントタイプ別の検索で、トップコンシューマーを即座に特定できます。
日別・アクション別の内訳を含む全使用状況データをCSVエクスポートし、社内のチャージバックやレポート作成に活用できます。
GitLab.comのトライアルをご利用のお客様には「ユーザー別の使用状況」タブが表示され、評価期間中も同等の可視性を提供します。
エージェント型SAST誤検出判定が一般提供開始
AI
Secure
SASTスキャンの実行後、Duo Agent Platformが重大度「Critical」および「High」の検出結果を自動チェックし、誤検出の可能性が高いものを特定します。各検出結果には信頼度スコア、AIによる説明、視覚的なバッジが付与されるため、実際の問題とノイズをすばやく区別できます。誤検出をディスミスすると、以降のパイプライン実行でもディスミス状態が維持されます。料金は定額で、クレジット1つにつきフロー1回です。このフローにより、以下が実現します:
実際の脅威を優先的に表示することで、スキャンサイクルあたり数時間の手動調査を削減します。
各評価に信頼度スコアとAIによる推論理由を付与し、透明性の高い意思決定をサポートします。
ディスミス済みステータスを引き継ぐため、検証済みの誤検出が以降のパイプライン実行で再浮上することはありません。
GitLabがSASTで検出した脆弱性を、レビュー可能なマージリクエストとして自動的に仕上げるまでの流れをご紹介します。エージェントがコードを読み取り、修正を生成・検証し、変更内容が明確で説明可能なMRを作成する様子をぜひご覧ください。
AIによるシークレットスキャン誤検出判定(ベータ版)
AI
Secure
SAST誤検出判定とは別のフローとして、シークレット検出の結果を分析し、テストクレデンシャル、サンプル値、プレースホルダーシークレットが脆弱性レポートを煩雑にする前にフラグ付けします。各評価にはAIによる推論理由と信頼度スコアが付与されます。デフォルトでは無効で、管理者がフィーチャーフラグでオプトインします。この機能により、以下が実現します。
セキュリティスキャンの実行後、手動トリガーなしで重大度「Critical(致命的)」および「High(高)」のシークレット検出結果を自動分析します。
各評価にコンテキストに基づくAI推論と信頼度スコアを提供し、チームのレビュー優先順位付けを支援します。
既存の重大度、ステータス、修復情報と並んで脆弱性レポートに直接結果を表示します。
エピック、イシュー、その他の作業アイテムが1つの統合リストで管理できるようになり、作業の検索・管理のためにページを切り替える必要がなくなりました。保存済みビューでは、ネームスペースレベルでカスタマイズしたリスト設定を作成・保存でき、毎日使用するフィルターやレイアウトにワンクリックでアクセスできます。このビューにより、以下が可能になります:
エピック、イシュー、その他の作業アイテムが1つの統合リストで管理できるようになり、作業の検索・管理のためにページを切り替える必要がなくなりました。保存済みビューでは、ネームスペースレベルでカスタマイズしたリスト設定を作成・保存でき、毎日使用するフィルターやレイアウトにワンクリックでアクセスできます。このビューにより、以下が可能になります。
表示設定をグループまたはプロジェクトレベルの再利用可能なビューとして保存でき、チーム全体で統一された方法で作業を確認できます。
スタンドアップ、スプリントプランニング、バックログリファインメントを遅らせていたタブの切り替えやフィルターの再構築を不要にします。
Free、Premium、Ultimateのすべてで利用可能です。GitLab.com、Self-Managed、Dedicatedに対応しています。
CI/CDパイプラインのマニュアルジョブが、実行時に入力パラメーターを受け付けられるようになりました。パラメーターが前段のジョブ出力や外部条件に依存する場合、ジョブのトリガー時に設定でき、パイプライン全体を再実行する必要はありません。Jenkinsからの移行チームにとっては、すぐになじみのあるパターンです。この機能により、以下が実現します:
パイプライン全体を再実行することなく、個々のジョブのパラメータを設定できます。
先行ジョブの出力や外部条件に基づく動的な入力に対応しています。
パラメータの不一致によるデプロイエラーを削減し、CI/CDツールの統合を簡素化します。
セキュリティダッシュボードをビジネスコンテキストでフィルター
Secure
Analyze
ビジネスインパクト、アプリケーション名、ビジネスユニット、インターネット露出などのセキュリティ属性を、セキュリティダッシュボード上で直接フィルタリングできるようになりました。セキュリティマネージャーは、スキャン件数をスクロールする代わりに、組織にとって重要な観点で脆弱性データを分析できます。このビューにより、以下が可能になります:
ビジネスインパクト、アプリケーション、ビジネスユニット、インターネット露出でダッシュボード上から直接フィルタリングできます。
既存のレポートタイプやプロジェクトフィルターと組み合わせて、スコープを絞った共有可能なビューを作成できます。
コンプライアンスチームやエンジニアリングリーダーに、カスタムレポートなしで焦点の合った関連性の高いセキュリティデータを提供します。
コンテナ仮想レジストリをUIから管理(ベータ版)
Deploy
コンテナ仮想レジストリにWebインターフェースが追加されました。Docker仮想レジストリの作成、Docker Hub、Harbor、Quayなどのアップストリームソースの追加、優先順位の設定、キャッシュのクリアをすべてAPIを使わずに実行できます。これまではAPIのみの操作でした。このレジストリにより、以下が可能になります:
複数のアップストリームソースを持つDocker仮想レジストリの作成を視覚的に管理できます。
アップストリームソースの順序設定、優先順位の構成、キャッシュのクリアをUI上で直接実行できます。
コンテナイメージ管理をGitLabに統合するチームの設定負荷を軽減します。