GitLab 19.2ではAIが脆弱な依存関係を修正：セキュリティをさらに左にシフト、今回はモデルへ

GitLab 19.2 には脆弱な依存関係をパッチするための AI ツールが搭載されました。シフトレフトセキュリティが再び注目を集めますが、今回はモデル内で、リントツールではなく実施されます。

簡単に言うと。 GitLab 19.2では、検出された脆弱な依存関係に対するパッチを提案（時には適用）するAIツールが導入されました。これは単なるスキャナーではなく、自動PRです。危険な領域に踏み込んだ優れた機能です。

背景

セキュリティのシフトレフトはSASTと同じくらい古いものです。2026年に変わったのは、提案される修正が静的なルールではなく、リポジトリ、ロックファイル、CIのコンテキストにアクセスできるLLMから提供される点です。GitLab 19.2（2026年7月17日発表、出典：Techinasia）は、GitHubのDependabot + Copilot Autofixに対抗し、プラットフォームに統合された機能で追いつきました。Duo CLIはGitLab.com、セルフマネージド、専用環境でGAとして発表されました。

データ

• リリース日：GitLab 19.2（Techinasia、2026年7月17日）
• 機能：脆弱な依存関係を特定し、パッチを提案するAIツール
• 市場の競合：GitHub Dependabot + Copilot Autofix、Snyk AI Fix、Semgrep AI Autofix

分析

デモよりも実際の使用が難しい理由：

1. テストカバレッジ：依存関係のパッチが契約テストを破壊しても、CIが緑で最新の統合テストがなければ見えません。
2. 推移的依存関係：foo@1.2をアップグレードすると、bar@2.xの推移的依存関係が壊れる可能性があります。ツールはロックファイルの行だけでなく、グラフ全体を把握する必要があります。
3. サイレントな破壊的変更：同じインポートパスを保持しながらシグネチャを変更するメジャーアップデート。LLMはCHANGELOGを読まない限り、これを検出できません。

内部構造

GitLab 19.2のCLI構文はまだ確定していませんが（ドキュメントで確認が必要）、選択したツールに関係なくチームが守るべき2つの設定ルールがあります：

• -applyを直接許可しない - 自動修正はターゲットブランチにコミットするのではなく、ドラフトのマージリクエストを開く必要があります。人間によるレビューをループに保ちます。
• ユニットテストだけでなく、完全なCIでブロックする - 自動修正はtest:unit + test:integration + 契約テストが通過した場合にのみマージされます。そうでなければ、パッチはCVEを修正する一方で、プロダクションにレグレッサーを導入します。

補足：レビューの負荷を軽減し、MRのキューを氾濫させないために、スキャンをschedule（夜間/週末）に設定します。

結論

CVEバックログを管理するチームにとって、この機能は価値があります：CVEからPRまでのレイテンシが短縮されます。しかしセキュリティリスクも現実的です：適切に制御されていない自動修正はCVEを修正する一方でレグレッサーを導入し、機能面で悪いトレードオフを生み出します。適切なセットアップにはライセンス費用ではなく、CI時間がかかります。テストカバレッジが影響を受けるモジュールのブランチで80%以上になるまでは、人間によるレビューを維持しながら採用することをお勧めします。