GitLab、ソフトウェア開発の工程を、組織のポリシーの下で一つにつなぐ「統制されたソフトウェアファクトリー」の基盤を発表

GitLab Artifact CentralやGitLab Dependency Firewallなどの新機能により、 エージェント型ワークフローの自動化からサプライチェーンの保護、AI投資の可視化までを一貫して統制

最もインテリジェントなDevSecOpsオーケストレーションプラットフォームを提供するGitLab（本社：米サンフランシスコ、読み方：ギットラボ、NASDAQ：GTLB）は、「統制されたソフトウェアファクトリー」を実現するための新機能を発表しました。統制されたソフトウェアファクトリーとは、組織独自のポリシーと標準に沿って、ソフトウェアをアイデアの段階から本番環境まで届けるための相互に接続されたシステムです。新機能により組織は、リスクやコストを増やすことなく、AIが生成したソフトウェアをより多く本番環境に投入できるようになります。

GitLabは現在、7,000万人を超えるデベロッパーと1万社を超える企業に活用され、イノベーションを支えています。直近3か月間のGitLabの利用状況を見ると、エージェント型ソフトウェア開発のアクティブユーザー数は前年同期比で200%増加しました。同じ期間に、セキュアなリポジトリは100%、ユーザーネームスペースは80%、CI/CDパイプラインは40%、それぞれ増加しています。

一方で、大半の組織は、コーディング、イシュートラッキング、ソースコード管理、CI/CDパイプライン、セキュリティ、アーティファクト管理、デプロイの各工程で別々のツールを組み合わせています。こうした環境は、いわば「シャドー ソフトウェアファクトリー」として運用されているのが実情です。

これらのツールの間には、共通のIDもポリシーもなく、変更の経緯を示す記録も残りません。ツールが分断されていると、工程間のハンドオフは遅れ、ステージをまたぐたびにコンテキストが途切れます。その結果、エンジニアリングリーダーは、計画から本番環境までの変更を追跡することも、AI投資の真の効果を測定することもできなくなっています。

GitLabは、これらの工程を一つにつなぎ、エージェントが組織のコンテキスト、ワークフロー、ガードレールの範囲内で作業できるようにします。同時に、変更が意図から本番環境へと進む過程を記録するエビデンスチェーンを構築します。今回発表した機能群は、統制されたソフトウェアファクトリーの基盤となるものです。組織は、ハンドオフを減らし、保護を強化し、AIがもたらす成果を明確に把握しながら、ソフトウェアを意図から本番環境まで進められるようになります。

ソフトウェアライフサイクル全体にわたるエージェント型ワークフローのオーケストレーション

エージェント型ソフトウェア開発は、コーディングを終えた後の工程で停滞することがあります。レビュー、テスト、セキュリティチェック、承認、デプロイの各段階で、人、ツール、ステージの間のハンドオフが必要になるためです。

GitLab Duo Agent Platformの目標駆動型フローは、GitLab Duo CLI、ヘッドレスモード、Duo Agentic Chatで利用できる「/goal」コマンドと、GitLab for Slackアプリで動作する新機能です。目標駆動型フローを活用することで、ソフトウェアライフサイクル全体でハンドオフ間の待ち時間を解消できます。

カスタムフローとフロートリガーを使えば、複数ステップにわたる作業を、同一のID、ポリシー、エビデンスチェーンのもとで自動化できます。チームは、普段から使っているツールやチャンネルで同じフローを開始し、進捗を追うことができます。どのツールやチャンネルから操作した場合も、同一のIDとポリシーが適用されます。

エージェント規模でのソフトウェアの確実な組み立て

組織が提供するソフトウェアの大半は、オープンソースのパッケージ、ベースイメージ、ライブラリを組み合わせて構成されています。パイプラインが誤ったコンポーネントを組み込んだ場合や、必要なコンポーネントが欠けていた場合、ビルドは失敗します。さらにエージェントは、ベンダーやプロジェクトごとに独自のルールを持つレジストリへ、マシンスピード（人手を介さない機械の処理速度）でパッケージを公開します。そのため、エージェントの利用が広がると、ビルドの失敗率は何倍にも高まります。

今回発表した新機能であるGitLab Artifact Centralは、コンテナとパッケージをソースコード管理やCIパイプラインと同じ単一のコントロールプレーンで一元管理します。GitLab.comでベータ版を提供中で、GitLab Self-Managedでも今月後半に提供を開始する予定です。プラットフォームチームは、適切なソフトウェアを初回から確実に組み立てられるようになります。チームは、組織レベルで一度ポリシーを設定するだけで、何が公開されたかを即座に把握できます。総保有コスト（TCO）は、代替ツールと比べて最大50%削減できます。

マシンスピードで稼働するソフトウェアファクトリーの保護

エージェント型ソフトウェア開発の導入が進むと、ソフトウェアサプライチェーンを流れるコード、パッケージ、認証情報の量が、セキュリティチームのレビュー能力を上回るようになります。エージェントが未検証のパッケージをビルドに取り込んだり、ローカル環境に保存された認証情報を再利用したりするおそれもあります。未修正の脆弱性が増えるほど、悪用のリスクは高まります。組織がマシンスピードで動くエージェントにより大きな自律性を委ねるには、その前提として、安全性を実証できる基盤が必要です。

この課題に対応するため、GitLabはセキュリティコントロールを拡充します。拡充の対象は、ビルドに取り込まれるものの統制、各ジョブがアクセスできる認証情報の保護、ソフトウェアデリバリーの防御態勢の強化です。併せて、エンジニアリングリーダーがエージェント型ソフトウェア開発におけるリスク態勢を評価するためのベストプラクティスを提供します。

新機能のGitLab Dependency Firewallは、全てのパッケージをビルドに取り込まれる前にポリシーと照合するもので、現在、早期アクセス版として提供しています。照合の基準は、パッケージの公開後の経過期間、脆弱性の重大度、悪意のあるパッケージの検出、ライセンスコンプライアンスについて組織が定めたルールです。照合の結果に応じて、警告、ブロック、隔離のいずれかを実行します。ソース、ビルド、レジストリを単一のコントロールプレーンで網羅しているため、チームは影響を受けるプロジェクトへの波及範囲を追跡し、修正の優先順位を数週間ではなく数分で判断できます。

GitLab Secrets Managerは、ビルド時に使うシークレットを1か所で保護し、各シークレットの利用範囲を、それを必要とするジョブに限定する機能です。現在、GitLab.comで一般提供しており、GitLab Self-Managedでは19.5リリースで一般提供となります。既存のグループ権限とプロジェクト権限をそのまま適用し、全てのイベントをGitLabの監査証跡に記録します。チームは、流出した認証情報をワンクリックで失効できます。別途シークレットの保管庫（vault）をホスティングする場合と比べて、最大50%のコスト削減を見込めます。

AnthropicのClaude Mythos 5および5.1は、来月からGitLab Duo Agent Platformの新しいセキュリティフローで利用できるようになる予定です。承認済みの環境を持つ組織は、攻撃者が脆弱性を発見して悪用するよりも速く、脆弱性を発見して修正できるようになります。

GitLab Security Standardは、本日から利用できます。セキュリティおよびエンジニアリングのリーダーは、GitLab Security Standardを指針として、自社のセキュリティ態勢を評価し、検証可能な成果に基づいて自律型エージェントへの信頼を築き、すでに本番環境にあるソフトウェアを保護できます。GitLab Security Standardは、エージェント時代に向けた5つのコントロールを定め、検出から修正の検証完了までの時間を中核指標としています。

エージェント型ワークフローにおけるコンテキストとコストの最適化

リーダーは、消費したクレジットと得られた成果を結び付けられなければ、AI投資を適切に管理できません。その裏付けがない状態では、次に取り組むユースケースの優先順位づけも支出上限の設定も、推測に基づくものになります。また、エージェント型ワークフローは、タスクの完遂に必要なライフサイクルのコンテキストが不足していると、リトライやトークン消費が増え、不要なコストが発生します。

GitLabは、これらの課題に二つの面から対応します。エージェントには効率的に作業するために必要なライフサイクルのコンテキストを提供し、リーダーにはAIのコストと効果を明確に把握できる手段を提供します。

GitLab Orbitは、6月のベータ版発表以降、3,500を超える組織で利用され、各組織のコーディングエージェントからの28万件を超えるクエリに対応してきました。GitLab Orbitは、ソフトウェアライフサイクル全体を、エージェントが行動に生かせるリアルタイムのナレッジとしてマッピングします。エージェントは、最大でリトライ回数を45分の1、トークン使用量を4.5分の1に抑えてタスクを完了できます。GitLab Orbitは来月、GitLabの全てのデプロイオプションで一般提供を開始する予定です。

Duo Agent Platformインパクト分析（Impact Analytics）は、AI投資のコストと効果を、チーム、タスク、モデルごとに表示する新機能で、現在、早期アクセス版として提供しています。インパクト分析は、先ごろ導入されたAI使用量の上限設定・管理機能を補完するものです。プラットフォーム管理者は、この上限設定・管理機能を使って、サブスクリプション、グループ、ユーザーの各レベルで支出上限を設定できます。チームは、導入状況を示す指標、エージェント型ワークフローの成果、クレジット消費量を、本番環境に届いた実際の成果と並べて確認できます。Duo Agent Platformでは、GitLabが管理するフロンティアモデルやオープンウェイトモデル、セルフホストモデルなど、複数のAIモデルを組み合わせて利用できます。インパクト分析による可視化は、そうした組み合わせで利用している場合にも有効です。

今回の発表の詳細は、こちらから確認できます。

関係者コメント

• OneTrust　ソフトウェアアーキテクト　ジェレミー・ナウタ（Jeremy Nauta）氏

「GitLab Secrets Managerを導入したことで、複数の保管庫を立ち上げたり、個別の連携ポイントを維持したりすることなく、CI/CD、Kubernetes、Infrastructure as Codeにまたがるシークレットを一元管理できるようになりました。特定の認証情報にアクセスできるユーザーやパイプラインを厳格に絞り込めるため、サプライチェーンのセキュリティも強化されます。」

• Anthropic　Applied AI責任者　ラジャット・パンディット（Rajat Pandit）氏

「防御側が攻撃側より多くのコンテキストを持つ場合、高度なモデルは防御側を優位に立たせます。GitLabのお客様は、すでに運用しているワークフローの中でClaude Mythos 5および5.1を活用し、脆弱性を発見して修正を検証できるようになります。」

• GitLab　最高製品・マーケティング責任者（CPMO）　マナブ・クラナ（Manav Khurana）

「あらゆる企業がすでにソフトウェアファクトリーを運用していますが、それを統制するシステムやコントロールを意図的に設計できている企業はほとんどありません。GitLabは、統制されたソフトウェアファクトリーの基礎となる構成要素を一つにまとめ、エージェント型ワークフロー、セキュリティ、AIのコンテキストとコントロールを結び付けます。これにより組織は、より高いスピード、ガバナンス、可視性をもって、ソフトウェアを意図から本番環境へと届けられるようになります。」