内置 Secrets Manager：CI/CD 凭据直接在 GitLab 中管理

GitLab 19.0 最明显的新功能之一是 GitLab Secrets Manager，目前已在 Premium 和 Ultimate 版本中进入公测阶段。

在此前的实践中，许多团队需要依赖外部工具来存储和管理 CI/CD 凭据，例如 HashiCorp Vault 或云厂商的 Secrets 服务。新的 Secrets Manager 则允许团队直接在 GitLab 平台内部完成这些操作。

主要能力包括：

• 在 GitLab 项目或群组中存储和读取 CI/CD 凭据
• 将密钥限定到特定任务（job）或运行环境
• 使用与源代码相同的权限控制体系管理访问

这种方式可以减少凭据分散在不同系统中的问题，并在 CI/CD 管道中更容易实现“最小权限访问”原则。

AI 合并请求自动化：让代码评审流程更少人工操作

GitLab 19.0 还显著扩展了 AI 在 Merge Request（合并请求）生命周期中的作用。

过去 AI 主要用于代码补全或生成，而现在 GitLab 的 AI 代理可以参与整个评审与合并流程，例如：

• 处理评审者反馈
• 自动解决合并冲突
• 执行自动 rebase
• 一键完成 rebase 并合并

这些能力来自 GitLab Duo Agent Platform，该平台引入“代理式（agentic）工作流”，让 AI 可以跨越规划、代码评审、安全检查和部署等多个阶段协同工作。

GitLab 的目标是自动化围绕代码变更的繁琐流程，因为在很多团队中，真正拖慢发布速度的并不是写代码，而是后续的人工流程。

支持自托管 AI 模型：满足金融、医疗和政府合规需求

并不是所有组织都能把代码发送到云端 AI 服务。金融机构、医疗机构或政府部门往往需要在严格的合规环境下开发软件。

GitLab 19.0 允许通过 外部代理（external agents） 接入 自托管的开源 AI 模型。

这意味着组织可以：

• 在自己的基础设施上运行 AI 模型
• 确保代码和提示词留在内部环境
• 将这些模型接入 GitLab 的自动化工作流

对于需要 隔离网络（air‑gapped）或严格数据主权控制 的企业来说，这使 AI 辅助开发成为可行方案。

更强的软件供应链安全与可视化

随着现代应用越来越依赖开源组件，软件供应链安全成为 DevSecOps 的重点领域。

GitLab 19.0 在这方面增加了两项重要能力。

1. CI/CD 组件分析（Components Analytics）

该功能为平台工程团队提供组织级可视化，显示哪些 CI/CD 组件及其版本正在被各个项目使用。这有助于发现过时组件、统一管道标准，并更好地管理大规模工程组织中的共享组件。

2. 基于 SBOM 的依赖扫描

新版本还引入了基于 软件物料清单（SBOM） 的依赖扫描能力，使团队能更早发现开源依赖中的漏洞，并在开发阶段进行修复，而不是等到上线之后。

GitLab 如何应对“AI 悖论”

GitLab 将当前的软件开发挑战描述为 AI 悖论：

• AI 让代码生成速度大幅提升
• 但代码评审、测试、安全和部署仍然依赖分散的工具链
• 结果是代码变多，但交付速度不一定更快

研究和行业调查显示，下游流程的工具碎片化会造成新的瓶颈，从而拖慢整个软件生命周期。

GitLab 在 19.0 中提出的解决思路是 “智能编排”（Intelligent Orchestration）：把开发、CI/CD、安全、合规以及 AI 自动化整合进同一 DevSecOps 平台，让流程协同运行，而不是依赖多个独立工具拼接。

为什么这次发布值得关注

GitLab 19.0 体现了 DevSecOps 工具的一个明显趋势：平台整合 + AI 驱动运维。

与单独推出 AI 编码助手不同，这个版本重点在于自动化“代码之外的工作”：

• 凭据和密钥管理
• 合并请求评审流程
• CI/CD 管道治理
• 软件供应链安全

对于需要管理大型代码库、同时满足严格合规要求的工程团队来说，这些能力试图让安全与治理速度跟上 AI 加速开发的节奏。

GitLab 是否真的能解决“AI 悖论”仍有待实践验证，但 19.0 明确展示了一个方向：面向整个软件生命周期的 AI‑驱动 DevSecOps 平台，而不仅仅是写代码的 AI 工具。

内置 Secrets Manager：CI/CD 凭据直接在 GitLab 中管理

GitLab 19.0 最明显的新功能之一是 GitLab Secrets Manager，目前已在 Premium 和 Ultimate 版本中进入公测阶段。

在此前的实践中，许多团队需要依赖外部工具来存储和管理 CI/CD 凭据，例如 HashiCorp Vault 或云厂商的 Secrets 服务。新的 Secrets Manager 则允许团队直接在 GitLab 平台内部完成这些操作。

主要能力包括：

• 在 GitLab 项目或群组中存储和读取 CI/CD 凭据
• 将密钥限定到特定任务（job）或运行环境
• 使用与源代码相同的权限控制体系管理访问

这种方式可以减少凭据分散在不同系统中的问题，并在 CI/CD 管道中更容易实现“最小权限访问”原则。

AI 合并请求自动化：让代码评审流程更少人工操作

GitLab 19.0 还显著扩展了 AI 在 Merge Request（合并请求）生命周期中的作用。

过去 AI 主要用于代码补全或生成，而现在 GitLab 的 AI 代理可以参与整个评审与合并流程，例如：

• 处理评审者反馈
• 自动解决合并冲突
• 执行自动 rebase
• 一键完成 rebase 并合并

这些能力来自 GitLab Duo Agent Platform，该平台引入“代理式（agentic）工作流”，让 AI 可以跨越规划、代码评审、安全检查和部署等多个阶段协同工作。

GitLab 的目标是自动化围绕代码变更的繁琐流程，因为在很多团队中，真正拖慢发布速度的并不是写代码，而是后续的人工流程。

支持自托管 AI 模型：满足金融、医疗和政府合规需求

并不是所有组织都能把代码发送到云端 AI 服务。金融机构、医疗机构或政府部门往往需要在严格的合规环境下开发软件。

GitLab 19.0 允许通过 外部代理（external agents） 接入 自托管的开源 AI 模型。

这意味着组织可以：

• 在自己的基础设施上运行 AI 模型
• 确保代码和提示词留在内部环境
• 将这些模型接入 GitLab 的自动化工作流

对于需要 隔离网络（air‑gapped）或严格数据主权控制 的企业来说，这使 AI 辅助开发成为可行方案。

更强的软件供应链安全与可视化

随着现代应用越来越依赖开源组件，软件供应链安全成为 DevSecOps 的重点领域。

GitLab 19.0 在这方面增加了两项重要能力。

1. CI/CD 组件分析（Components Analytics）

该功能为平台工程团队提供组织级可视化，显示哪些 CI/CD 组件及其版本正在被各个项目使用。这有助于发现过时组件、统一管道标准，并更好地管理大规模工程组织中的共享组件。

2. 基于 SBOM 的依赖扫描

新版本还引入了基于 软件物料清单（SBOM） 的依赖扫描能力，使团队能更早发现开源依赖中的漏洞，并在开发阶段进行修复，而不是等到上线之后。

GitLab 如何应对“AI 悖论”

GitLab 将当前的软件开发挑战描述为 AI 悖论：

• AI 让代码生成速度大幅提升
• 但代码评审、测试、安全和部署仍然依赖分散的工具链
• 结果是代码变多，但交付速度不一定更快

研究和行业调查显示，下游流程的工具碎片化会造成新的瓶颈，从而拖慢整个软件生命周期。

GitLab 在 19.0 中提出的解决思路是 “智能编排”（Intelligent Orchestration）：把开发、CI/CD、安全、合规以及 AI 自动化整合进同一 DevSecOps 平台，让流程协同运行，而不是依赖多个独立工具拼接。

为什么这次发布值得关注

GitLab 19.0 体现了 DevSecOps 工具的一个明显趋势：平台整合 + AI 驱动运维。

与单独推出 AI 编码助手不同，这个版本重点在于自动化“代码之外的工作”：

• 凭据和密钥管理
• 合并请求评审流程
• CI/CD 管道治理
• 软件供应链安全

对于需要管理大型代码库、同时满足严格合规要求的工程团队来说，这些能力试图让安全与治理速度跟上 AI 加速开发的节奏。

GitLab 是否真的能解决“AI 悖论”仍有待实践验证，但 19.0 明确展示了一个方向：面向整个软件生命周期的 AI‑驱动 DevSecOps 平台，而不仅仅是写代码的 AI 工具。