GitLab 19.0がDevSecOpsを拡張：Secrets Manager、AIマージ自動化、サプライチェーン可視化

AIコーディングツールの普及により、開発チームはこれまで以上の速度でコードを生成できるようになりました。しかし、そのコードを安全にレビューし、テストし、本番環境へ届けるプロセスは必ずしも同じ速度で進んでいません。

GitLab 19.0は、このギャップを埋めるために登場したアップデートです。新バージョンでは、Secrets Manager（パブリックベータ）、AIによるマージリクエスト自動化、規制環境向けの自己ホスト型AIモデル対応、そしてソフトウェアサプライチェーンの可視化強化などが導入されました。

GitLabはこの課題を「AIパラドックス」と呼びます。つまり、AIによってコード生成は高速化しているのに、セキュリティ、レビュー、コンプライアンス、デリバリーの工程が追いつかず、開発全体のスピードがむしろ制約される現象です。

CI/CDの認証情報を管理する「GitLab Secrets Manager」

GitLab 19.0の主要機能の一つが、GitLab Secrets Managerです。これはPremiumおよびUltimateユーザー向けにパブリックベータとして提供されています。

これまで多くの企業は、CI/CDの資格情報管理にHashiCorp VaultやクラウドのSecretsサービスなど外部ツールを利用していました。GitLab Secrets Managerを使うと、これらをGitLabプラットフォーム内で管理できます。

主な機能は次の通りです。

• CI/CDの認証情報をGitLabプロジェクトやグループ内に保存
• 特定のジョブや環境に限定したシークレットのスコープ設定
• ソースコードと同じアクセス権限モデルで管理

これにより、CI/CDパイプライン内の資格情報の分散を減らし、**最小権限アクセス（least privilege）**の実装を簡単にすることが狙いです。

AIによるマージリクエスト自動化

GitLab 19.0では、AIをコード生成だけでなくレビュー工程にも拡張しました。

AIエージェントはマージリクエスト（MR）ライフサイクル全体を支援し、例えば次のような作業を自動化できます。

• レビュアーのフィードバック対応
• マージコンフリクトの解消
• 自動リベース
• ワンクリックでのリベース＋マージ

これらはGitLab Duo Agent Platformの一部として提供され、コード変更が

計画 → 実装 → レビュー → セキュリティチェック → デプロイ

という流れを、AIエージェントが連携して進める「エージェント型ワークフロー」として設計されています。

目的は、コードを書く作業よりも時間がかかりがちなレビューや調整といった手動作業を減らすことです。

規制環境向けの自己ホスト型AIモデル

金融、医療、政府などの分野では、ソースコードやプロンプトを外部AIサービスへ送信できないケースが多くあります。

GitLab 19.0では、Duo Agent Platformの外部エージェント機能を通じて、自己ホスト型のオープンソースAIモデルを接続できるようになりました。

これにより企業は次のような運用が可能になります。

• AIモデルを自社インフラで実行
• コードやプロンプトを外部に送らない
• GitLabのAIワークフローと統合

この仕組みは、エアギャップ環境や厳しいコンプライアンス要件のある組織でもAI支援開発を導入できるようにするものです。

ソフトウェアサプライチェーンの可視化を強化

現代のアプリケーションは、多くのオープンソースライブラリや外部コンポーネントに依存しています。そのため、ソフトウェアサプライチェーンのセキュリティが重要なテーマになっています。

GitLab 19.0では次の機能が追加されました。

CI/CDコンポーネント分析（Components Analytics）

プラットフォームエンジニアリングチームが、組織内でどのCI/CDカタログコンポーネントやバージョンが使われているかを可視化できます。

これにより、

• 古いパイプラインコンポーネントの検出
• 標準化されたCI/CDの管理
• 大規模組織での再利用状況の把握

といった運用が可能になります。

SBOMベースの依存関係スキャン

GitLab 19.0では、SBOM（Software Bill of Materials）を利用した依存関係スキャンも強化されました。

これにより、開発の早い段階で

• オープンソース依存関係
• 既知の脆弱性

を把握できるようになります。

GitLabが指摘する「AIパラドックス」

GitLabが今回のリリースで強調するのが「AIパラドックス」です。

AIツールによってコード作成は劇的に速くなりましたが、その後の工程――

• セキュリティレビュー
• テスト
• デプロイ
• コンプライアンスチェック

は依然として複数のツールに分散していることが多く、コード量が増えるほどボトルネックが拡大するという問題があります。

GitLabはこの問題への解決策として、**「インテリジェントオーケストレーション」**というアプローチを掲げています。つまり、開発、セキュリティ、CI/CD、AI自動化を一つのDevSecOpsプラットフォームに統合し、ワークフロー全体を連携させるという考え方です。

DevSecOpsツールの次の方向性

GitLab 19.0の特徴は、単にAIコーディング機能を追加するのではなく、コードの周囲にある作業を自動化することに重点を置いている点です。

• 認証情報管理
• マージレビュー
• CI/CD標準化
• サプライチェーン監視

これらをAIとプラットフォーム統合で効率化することで、AI時代の開発速度とセキュリティのバランスを取ろうとしています。

「AIでコードを書くスピード」と「安全にリリースするスピード」を同じレベルまで引き上げられるかどうか――GitLab 19.0は、その課題に対する一つの答えを示したアップデートと言えるでしょう。