Wenn der Backlog dem Team über den Kopf wächst: GitLab skaliert die Behebung

Security-Teams fiel es schon immer schwer, bei Triage und Behebung mitzuhalten – und das zu einer Zeit, in der Entwicklung noch in menschlichem Tempo ablief. Heute verschärft sich diese Herausforderung, weil Entwicklungsteams mit KI in Maschinentempo Code schreiben und ausliefern.

Gleichzeitig hilft KI Angreifern dabei, Schwachstellen in der Produktion schneller zu finden und auszunutzen. Laut Verizons Data Breach Investigations Report 2026 hat das Ausnutzen von Schwachstellen den Missbrauch von Zugangsdaten als häufigsten Einstiegspunkt für Sicherheitsvorfälle überholt. Auf das Ausnutzen von Schwachstellen gehen 31 % der Vorfälle zurück, gegenüber nur 13 % in den Vorjahren. Und nur 26 % der bekannten, aktiv ausgenutzten Schwachstellen wurden in diesem Jahr behoben, gegenüber 38 % zuvor. Das heißt: Mehr Sicherheitsvorfälle beginnen mit einer Schwachstelle, die bereits ungepatcht in der Produktion lag.

In GitLab 19.3 können Teams Static Application Security Testing (SAST) False Positive Detection und Agentic SAST Vulnerability Resolution im Bulk auf ihren bestehenden Vulnerability-Backlog anwenden.

False Positives verwerfen und Schwachstellen im Bulk beheben

Die meisten Teams haben bereits einen Backlog bekannter Schwachstellen in der Produktion – weit mehr, als ein Team einzeln öffnen und triagieren kann. Früher war das ein Kapazitätsproblem. Jetzt ist es auch ein zeitliches Problem: Dieselbe KI, die die Entwicklung beschleunigt, beschleunigt auch das Ausnutzen von Schwachstellen. Befunde, die länger im Backlog liegen, tragen damit ein höheres Risiko als früher.

GitLab adressiert das mit zwei Ebenen automatisierter Triage und Behebung. Die erste deckt aktive Schwachstellen in der Produktion ab. Mit GitLab 19.3 können Teams mehrere Schwachstellen gemeinsam auswählen und agentische Flows – SAST False Positive Detection und Agentic SAST Vulnerability Resolution – auf den Vulnerability-Backlog in der Produktion anwenden. SAST False Positive Detection analysiert den Code im Umfeld eines Befunds und gibt einen Konfidenzwert sowie eine Erklärung dazu zurück, ob es sich um ein echtes Risiko oder ein False Positive handelt. Agentic SAST Vulnerability Resolution nimmt die als echtes Risiko bestätigten Befunde und öffnet einen Fix, der sich direkt mergen lässt und die Schwachstellen behebt. So prüfen und mergen Entwicklungsteams die Fixes, statt sie von Grund auf zu schreiben.

Das gilt für alle SAST-Schwachstellen im Vulnerability Report, unabhängig von der Herkunft des Scanners und vom Schweregrad. Befunde aus jedem Drittanbieter-Scanner, der SARIF ausgibt, lassen sich importieren; GitLab überführt sie in einen einheitlichen Vulnerability Report.

Mit SAST False Positive Detection und Agentic SAST Vulnerability Resolution im Bulk können Teams über Jahre angesammeltes Risiko in einem Schritt abbauen, statt Schwachstelle für Schwachstelle vorzugehen – und so das Risiko senken, dass Schwachstellen in der Produktion ausgenutzt werden.

Die beiden Funktionen in der Praxis:

Die zweite Ebene deckt alle neu identifizierten Schwachstellen ab. Teams können ihre Pipelines so konfigurieren, dass SAST False Positive Detection und Agentic SAST Vulnerability Resolution automatisch auf Schwachstellen der Schweregrade Critical und High laufen (interaktive Demo ansehen). Neue Befunde werden automatisch triagiert, und wenn einer als echtes Risiko eingestuft wird, erstellt GitLab einen Fix, der sich direkt mergen lässt, noch bevor jemand den Befund manuell öffnen muss.

Triage automatisieren und den Backlog abarbeiten

Mit Triage und Behebung im Bulk verbringen Entwicklungsteams weniger Zeit damit, False Positives zu bestätigen, und mehr damit, Fixes auszuliefern, die echtes Risiko senken.

Starte eine kostenlose Testversion der GitLab Duo Agent Platform, um es auszuprobieren.

Häufig gestellte Fragen

Verbrauchen SAST False Positive Detection und Agentic Vulnerability Resolution im Bulk Credits der GitLab Duo Agent Platform?
Ja. Details findest du auf der Pricing-Seite.

Kosten Triage und Behebung im Bulk mehr Credits, als die Erkennung einzeln auszuführen?
Nein. Jeder Befund kostet weiterhin denselben Satz pro Ausführung. Bulk stellt lediglich viele Ausführungen gleichzeitig in die Warteschlange, statt sie einzeln manuell auszulösen.

Welche Schwachstellen kommen für Triage im Bulk infrage?
Jede SAST-Schwachstelle in deinem Vulnerability Report, unabhängig von der Herkunft des Scanners und vom Schweregrad.

Überlastet die Ausführung auf meinem gesamten Backlog meine Pipeline?
Nein. Concurrency-Limits verhindern, dass der Bulk-Job mit der übrigen Arbeit deiner Pipeline konkurriert. Tausende Befunde abzuarbeiten geht damit nicht auf Kosten der Build-Kapazität.

Kann ich einen laufenden Bulk-Job stoppen?
Ja. Eine Fortschrittsanzeige verfolgt den Job während der Ausführung, und du kannst ihn jederzeit abbrechen.