GitLab 19.0 炸场：Agentic AI 接管凭证管理、合并请求与供应链安全

GitLab 于 5 月 21 日发布了 19.0 版本，这不仅仅是一次常规更新。它把 Agentic AI 从代码生成的单一场景，推向了与开发者日常工作紧密相关的三个关键领域：凭证安全、变更审查与合并，以及已发布包的依赖扫描。GitLab 首席产品与市场官 Manav Khurana 表示：“AI 加速了代码生成，但并未让大规模信任或保障变得更容易。当安全、自动化与治理、代码共享同一平台时，团队能在 AI 加速下保持对交付物的控制，而这正是 GitLab 19.0 要实现的。” Secrets Manager：凭证管理平台化 新推出的 GitLab Secrets Manager 目前对 Premium 与 Ultimate 用户开放公开测试。它允许团队在运行代码与流水线的同一平台内保存凭证，并将每个 secret 限定为仅允许被授权的 job 使用。访问控制与审计日志沿用 GitLab 现有的 group 与 project 层级，无需独立的授权模型。一旦凭证泄露，响应者可以从 GitLab 审计轨迹追溯每个使用该凭证的 job。该功能与 HashiCorp Vault、AWS Secrets Manager、Azure Key Vault、Google Cloud Secret Manager 兼容，但并非替代这些服务，而是提供一种更紧密集成的选择。 Developer Flow：智能体接管合并请求 在合并请求方面，Developer Flow 智能体能力大幅升级。它现在能处理审阅者反馈、拆分过大的 MR 并自动解决冲突。该流程在提交前会从 AGENTS.md 读取项目规范，确保生成的产出反映团队上下文而非通用默认值。新的“Resolve with Duo”按钮（beta）会评估双方分支、提交建议修复并留下概要注释供后续审阅。同时，一次性 rebase-and-merge 支持 fast-forward 与半线性合并。值得注意的是，GitLab Duo 遵守分支保护规则，不会对受保护分支强制推送，避免了 AI 误操作风险。 Duo Core 计费调整与平台要求升级 此版本将 GitLab Duo Core 迁移为按使用计费。Web IDE 与桌面 IDE 中的 Code Suggestions 现在使用 GitLab Credits 计费，GitLab Duo Chat 也变为基于智能体运行，团队需启用 GitLab Duo Agent Platform 才能继续使用。平台工程师将获得 Components Analytics 数据，显示组织内运行的 CI/CD Catalog 组件及版本，以及尚未修复的安全漏洞位置。 GitLab 19.0 同时提升了对平台的要求：将 PostgreSQL 17 设为最低版本、停止对 Redis 6 的支持，并移除针对 Ubuntu 20.04 与 SUSE 发行版的 Linux 包。这些变化可能影响部分自托管用户的升级计划。 供应链安全：SBOM 依赖扫描正式发布 基于软件物料清单（SBOM）的依赖扫描现已正式发布，覆盖 Maven、npm、NuGet、PyPI、Go 与 Cargo 等生态系统。自动依赖解析（在项目未提交 lockfile 时生成所需的 lockfile 或依赖图导出）默认对 Maven、Gradle 与 Python 启用，必要时能够回退到 manifest 扫描。安全配置策略允许团队通过策略开启 Secret Detection、SAST 与依赖扫描，而无需逐项目修改 CI 配置。 对于自托管团队，GitLab Duo Agent Platform 为无网络的环境提供了包括 Mistral Devstral 2 123B 与 GLM-5.1 在内的四个开源模型，并新增对 Claude Opus4.7 与 Gemini 的支持。这使得在隔离环境中也能运行 AI 辅助功能。 行业视角：治理与定价的权衡 GitLab 的竞争对手包括 GitHub 和 Atlassian 也在推进类似的 agentic 功能。平台团队现在需要在治理与定价模型上权衡，选择与自身安全需求及预算相符的方案。对于关注 AI 工具选型的团队，AI大狗（AIdadog.com）作为一站式 AI 导航与资讯平台，可帮助开发者快速发现、比较和追踪 GitLab 19.0 等最新 AI 功能，让“爱不释手”的体验从代码延伸到整个开发流程。