Quand votre backlog dépasse les capacités de votre équipe, GitLab fait passer la correction à l'échelle

Historiquement, les équipes de sécurité ont toujours eu du mal à suivre le rythme du classement et de la correction de vulnérabilités lorsque le développement se faisait à vitesse humaine. Aujourd'hui, ce défi est amplifié par des équipes de développement qui écrivent et livrent du code à la vitesse des machines grâce à l'IA.

Parallèlement, l'IA aide les attaquants à détecter et à exploiter les vulnérabilités en production plus rapidement. Le rapport 2026 sur les violations de données de Verizon révèle que l'exploitation des vulnérabilités a dépassé l'abus d'identifiants comme principal vecteur d'intrusion. L'exploitation des vulnérabilités représente désormais 31 % des violations, contre seulement 13 % les années précédentes, et seules 26 % des vulnérabilités exploitées connues ont été corrigées cette année, contre 38 % auparavant. Cela signifie qu'un nombre croissant de violations trouve son origine dans une vulnérabilité déjà présente en production, non corrigée.

Dans la version GitLab 19.3, les équipes peuvent désormais exécuter le flow SAST False Positive Detection et le flow Agentic SAST Vulnerability Resolution en masse sur leur backlog de vulnérabilités existant.

Ignorer les faux positifs et corriger les vulnérabilités en masse

La plupart des équipes disposent déjà d'un backlog de vulnérabilités connues en production, bien trop important pour les traiter une par une. Ce qui était autrefois un problème de charge de travail est désormais aussi un problème de délai : l'IA qui accélère le développement accélère également l'exploitation, ce qui signifie que les résultats qui restent dans le backlog plus longtemps comportent davantage de risques qu'auparavant.

GitLab répond à ce défi avec deux niveaux de classement et de correction automatisés. Le premier couvre les vulnérabilités actives en production. Avec GitLab 19.3, les équipes peuvent sélectionner plusieurs vulnérabilités en masse pour exécuter des flows agentiques, SAST False Positive Detection et Agentic SAST Vulnerability Resolution, sur le backlog de vulnérabilités en production. Le flow SAST False Positive Detection analyse le code environnant un résultat et renvoie un score de confiance ainsi qu'une explication indiquant s'il s'agit d'un risque réel ou d'un faux positif. Le flow Agentic SAST Vulnerability Resolution prend les résultats confirmés comme risques réels et ouvre une correction prête à être fusionnée, ce qui permet à un développeur de vérifier et de fusionner les correctifs plutôt que de les écrire de zéro.

Ces flows peuvent s'appliquer à toutes les vulnérabilités SAST dans le rapport de vulnérabilités, quel que soit l'outil d'analyse ou la gravité. Vous pouvez importer des résultats depuis n'importe quel outil tiers qui génère du SARIF ; GitLab les intègre dans un rapport de vulnérabilités unifié.

Avec les flows SAST False Positive Detection et Agentic SAST Vulnerability Resolution, les équipes peuvent réduire des années de risques accumulés en une seule action, plutôt que vulnérabilité par vulnérabilité, et limiter le risque d'exploitation en production.

Découvrez ces deux fonctionnalités en action :

Le second niveau couvre les nouvelles vulnérabilités identifiées. Les équipes peuvent configurer leurs pipelines pour exécuter automatiquement les flows SAST False Positive Detection et Agentic SAST Vulnerability Resolution sur les vulnérabilités de gravité Critique et Élevée (voir une démo interactive). Les nouveaux résultats sont triés automatiquement et, lorsqu'un résultat est identifié comme un risque réel, GitLab crée une correction prête à être fusionnée avant même qu'un membre de l'équipe n'ait à ouvrir le résultat manuellement.

Commencez dès aujourd'hui à automatiser le classement et à réduire votre backlog

Grâce au classement et à la correction en masse, les équipes de développement passent moins de temps à confirmer les faux positifs et davantage à livrer des correctifs qui réduisent les risques réels.

Démarrez un essai gratuit de GitLab Duo Agent Platform pour essayer ces flows dès maintenant.

FAQ

Les flows SAST False Positive Detection et Agentic Vulnerability Resolution consomment-ils des GitLab Credits ?
Oui. Consultez la page de tarification pour obtenir plus de détails.

Le classement et la correction en masse coûtent-ils plus de crédits que l'exécution de la détection des vulnérabilités une par une ?
Non. Chaque résultat est facturé au même tarif par exécution ; le mode masse se contente de mettre en file d'attente plusieurs résultats à la fois plutôt que de les déclencher manuellement un par un.

Quelles vulnérabilités sont éligibles au classement en masse ?
Toute vulnérabilité SAST présente dans votre rapport de vulnérabilités, quel que soit l'outil d'analyse ou la gravité.

L'exécution sur l'ensemble de mon backlog va-t-elle surcharger mon pipeline ?
Non. Des limites de concurrence empêchent le job en masse d'entrer en concurrence avec les autres tâches de votre pipeline, de sorte que le traitement de milliers de résultats ne se fait pas au détriment de la capacité de build.

Puis-je arrêter un job en masse une fois qu'il est lancé ?
Oui. Un indicateur de progression suit le job pendant son exécution, et vous pouvez l'annuler à tout moment.