GitLab 19.0：用 AI 同安全工具打通 DevSecOps 全流程

AI 編程工具令開發速度大幅提升，但「寫得快」唔等於「發佈得快」。GitLab 19.0 就係針對呢個問題推出一系列 DevSecOps 更新，將安全、AI 自動化同 CI/CD 流程更緊密整合。

新版本最重要的變化包括：GitLab Secrets Manager（公測）、更深入的 AI Merge Request 自動化、可自託管 AI 模型支援，以及加強 軟件供應鏈安全與依賴分析。GitLab 將呢個策略稱為「智能編排（Intelligent Orchestration）」，目標係縮短「寫完程式到正式上線」之間的差距。

Secrets Manager：CI/CD 憑證直接由 GitLab 管理

GitLab 19.0 引入 GitLab Secrets Manager，目前以 public beta 形式提供給 Premium 同 Ultimate 用戶。

過去不少公司會用外部工具，例如 HashiCorp Vault 或雲端供應商的 Secrets 服務去儲存 CI/CD 憑證。GitLab 現在將呢個能力直接整合入平台。

主要功能包括：

• 在 GitLab project 或 group 內安全儲存 CI/CD secrets
• 將憑證限制只供特定 job 或環境使用
• 使用同原始碼相同的權限控制機制管理存取

透過把 secrets 同 pipeline 以及 repository 權限結合，GitLab 希望減少憑證分散問題，同時更容易落實「最小權限原則」。

AI Merge Request 自動化：由寫程式延伸到 Code Review

GitLab 19.0 同時將 AI 功能擴展到 Merge Request（MR）整個流程。

以往 AI 主要集中喺 code suggestion，但 GitLab 現在透過 Duo Agent Platform，讓 AI agents 參與更多開發流程，例如：

• 處理 reviewer 的回饋
• 自動解決 merge conflict
• 自動 rebase
• 一鍵 rebase-and-merge

GitLab 稱之為 agentic workflows —— AI 不只是輔助寫程式，而係協助將程式碼由開發一路推進到 review、安全檢查同部署階段。

換句話說，AI 由「寫 code 助手」變成「整個開發流程的助手」。

支援自託管 AI 模型：滿足金融、政府等高合規環境

不少企業（例如金融、醫療、政府機構）因為合規或資料主權問題，不能將源碼或 prompt 傳送到外部 AI 服務。

GitLab 19.0 為此加入 透過 external agents 連接自託管開源 AI 模型 的能力。

企業可以：

• 在自己基礎設施上運行 AI 模型
• 確保程式碼與 prompt 不離開內部網絡
• 將模型接入 GitLab AI agent 工作流程

呢個功能特別適合 air‑gapped（完全隔離網絡） 或高度監管的環境，令 AI 開發工具仍然可以安全使用。

強化軟件供應鏈安全與依賴可見性

現代軟件大量依賴第三方開源元件，因此供應鏈安全越來越重要。GitLab 19.0 在呢方面亦加入新能力。

CI/CD Components Analytics

新功能可以讓平台工程團隊看到整個組織內 哪些 CI/CD Catalog 元件及版本正在被使用。

呢種可見性有助於：

• 找出過時 pipeline 元件
• 管理共用 CI 模組
• 在大型工程團隊中建立標準化流程。

SBOM 驅動的依賴掃描

GitLab 19.0 亦加強 基於 SBOM（Software Bill of Materials）的 dependency scanning。

SBOM 可以列出應用程式所包含的所有軟件組件，令團隊更容易：

• 發現開源依賴漏洞
• 追蹤供應鏈風險
• 在開發早期就修復問題

GitLab 想解決的「AI Paradox」

GitLab 將目前軟件開發的一個新問題稱為 「AI Paradox」。

意思係：

• AI 工具令寫程式速度大幅提升
• 但安全審查、測試、合規同部署流程仍然依賴分散工具
• 結果係產生更多程式碼，但整體交付速度未必提升

GitLab 認為解法唔係再加更多 AI 工具，而係將 開發、測試、安全同部署流程集中到同一平台並由 AI 協調。

GitLab 19.0 的「Intelligent Orchestration」策略，就是希望把：

• AI agent
• CI/CD
• 安全掃描
• 憑證管理
• 供應鏈監控

整合成一個完整的 DevSecOps 控制平台。

對開發團隊意味住什麼

GitLab 19.0 顯示 DevSecOps 工具正在出現一個明顯趨勢：平台整合 + AI 自動化。

與其只提供 AI 編程助手，GitLab 更著重於自動化整個開發流程——從憑證管理、Merge Request、CI/CD pipeline，到依賴安全與供應鏈分析。

對需要管理大型代碼庫、又要符合安全與合規要求的企業團隊而言，GitLab 19.0 嘗試讓 安全與治理的速度跟得上 AI 編程的速度。

至於呢種平台式方法能否真正解決「AI Paradox」，仍然要視乎企業實際落地情況，但方向已經相當清晰：未來 DevSecOps 可能會由 AI 驅動的整合平台主導，而不再只是零散工具的組合。