在目前的軟體開發流程中，我們正陷入一個有趣的矛盾，GitLab 將其定義為 AI 悖論。簡單來說，就是 AI 輔助編碼工具（如 Copilot 或各種 Coding Agents）讓開發者寫程式的速度大幅提升，但後端的審核（Review）與安全性檢查（Security Check）速度卻跟不上。當程式碼產出量激增，安全漏洞的累積速度也隨之增加，導致安全待辦清單（Security Backlog）堆積如山，成了開發流程的新瓶頸。
為了打破這個瓶頸，GitLab 19.2 版本引入了 Agentic Automation（代理人自動化）。這裡的 Agent 指的是不僅能提供建議，還能自主執行任務、觀察結果並根據錯誤反饋進行修正的 AI 代理人。
自動化修復依賴項漏洞
在實務開發中，依賴項掃描（Dependency Scanning）經常會發現大量漏洞，但很多漏洞來自於間接依賴（Transitive Dependencies），也就是你引用的套件 A 又引用了套件 B，而漏洞出在 B 身上。手動更新這些套件非常繁瑣，且經常會導致 Breaking Change（破壞性變更），也就是更新後原本的功能壞掉了，導致編譯失敗。
GitLab 19.2 推出的依賴項自動修復功能，會在發現漏洞時自動開啟一個 Merge Request（合併請求）並提議安全版本。最關鍵的技術在於 Agentic Breaking Change Resolution：如果 AI 更新版本後導致 CI/CD 流水線（Pipeline）失敗，AI Agent 會分析錯誤訊息並在同一個 Merge Request 中嘗試不同的修復方案，直到 Pipeline 通過為止。這將開發者從重複的嘗試與錯誤中解放，但最終的合併權限依然留在人類維護者手中。
深度安全審查與邏輯漏洞偵測
傳統的安全掃描工具大多基於模式比對（Pattern Matching），能抓到已知的漏洞特徵，但很難發現邏輯缺陷（Logic Flaws）。例如：權限檢查失效（Broken Authorization）、大量賦值漏洞（Mass Assignment）或競態條件（Race Conditions）。
針對此問題，GitLab 引入了安全審查流程（Security Review Flow）。團隊可以將 Duo Security Review 服務帳號設定為審核者，AI 會像人類審核員一樣在程式碼中留下討論串評論，標記嚴重程度並提供修復建議。值得注意的是，為了確保安全性，AI 僅扮演建議者，絕不會自主核准合併請求。
擴展自動化能力與治理
除了內建功能，GitLab 還提供了兩項提升工程效率的工具。首先是 GitLab Duo CLI，將 AI Agent 整合進終端機，讓工程師在指令列就能讓 AI 獲取專案脈絡與流水線狀態。其次是自定義流程（Custom Flows），允許團隊使用 YAML 格式定義自己的自動化邏輯，例如讓 AI 自動回答新工單（Work Item）中的問題，並附上信心分數，只有低信心度的問題才交由人類處理。
隨著 AI Agent 權限增加，治理（Governance）變得至關重要。為了防止 AI 亂搞或滿足合規需求，GitLab 增加了 AI 稽核事件報告（AI Audit Event Report），詳細記錄 Agent 的所有活動。同時引入了 MCP（Model Context Protocol）訪問控制，用來規範哪些 Agent 可以執行，以及它們能接觸到哪些系統。
總結與實務影響
GitLab 19.2 的核心邏輯是將 AI 從單純的寫作工具，轉化為能夠處理安全負擔的維運助手。對於工程團隊而言，這意味著安全性不再是開發速度的阻礙，而是透過自動化修復與深度審查，將低價值、重複性的補丁工作交給 AI，讓工程師專注於更高層次的架構設計與最終決策。
來源：infoq.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。