脆弱性バックログを一括処理：GitLabが実現する大規模な修正

セキュリティチームは、開発が人間のスピードで進んでいた時代でさえ、トリアージと修正に追いつくのに苦労してきました。AIによって開発者がマシンスピードでコードを書き、リリースするようになった今、その課題はさらに厳しさを増しています。

一方、攻撃側もAIを使い、本番環境の脆弱性をより速く発見して悪用しています。Verizon『2026年度データ漏洩/侵害調査報告書（DBIR）』によると、侵害の初期侵入経路として、脆弱性の悪用が認証情報の悪用を上回りました。脆弱性の悪用が占める割合は、これまでの13%から31%へと大幅に増加。その一方で、既知の悪用された脆弱性のうち今年修正されたものは26%にとどまり、前年の38%から低下しています。本番環境に未修正のまま残っていた脆弱性を起点とする侵害が、それだけ増えているということです。

GitLab 19.3では、SASTの誤検出判定とエージェント型SAST脆弱性の修正を、既存の脆弱性バックログに対して一括で実行できるようになりました。

誤検出の一括却下と脆弱性の一括修正

多くのチームは、すでに本番環境で動いている既知の脆弱性のバックログを抱えています。その数は、1件ずつ開いてトリアージするには到底追いつかない規模。これまでは作業量の問題でした。しかし今は、タイミングの問題でもあります。開発を加速させているのと同じAIが悪用も加速させており、バックログに滞留する期間が長いほど、そのリスクは以前より大きくなるからです。

GitLabはこれに対し、自動トリアージと修正を2つの層で提供します。1つ目の層が対象とするのは、本番環境にあるアクティブな脆弱性。GitLab 19.3では、複数の脆弱性を一括選択し、エージェント型フローであるSASTの誤検出判定とエージェント型SAST脆弱性の修正を、本番環境の脆弱性バックログに対してまとめて実行できます。SASTの誤検出判定は、検出結果の周辺コードを解析し、実際のリスクか誤検出かを示す信頼度スコアと説明を返します。エージェント型SAST脆弱性の修正は、実際のリスクと確定した検出結果に対して、そのままマージできる修正を作成。開発者はゼロから修正を書くのではなく、レビューしてマージするだけで済みます。

対象となるのは脆弱性レポートに含まれるすべてのSAST脆弱性で、スキャナーの出自や重大度は問いません。SARIF形式で出力するサードパーティスキャナーの検出結果もインポートでき、GitLabはそれらを統合された脆弱性レポートに取り込みます。

SASTの誤検出判定とエージェント型SAST脆弱性の修正を一括実行すれば、1件ずつ処理する代わりに、長年積み上がったリスクを一度の操作で削減できます。本番環境で脆弱性が悪用されるリスクも下げられます。

2つの機能の実際の動作をご覧ください。

2つ目の層がカバーするのは、新たに検出される新規の脆弱性。重大度がCriticalおよびHighの脆弱性に対して、SASTの誤検出判定とエージェント型SAST脆弱性の修正を自動実行するよう、パイプラインを設定できます（インタラクティブデモを見る）。新しい検出結果は自動的にトリアージされ、実際のリスクと判断されれば、誰かが手作業で開く前にGitLabがマージ可能な修正を用意します。

今日からトリアージを自動化し、バックログを解消する

一括トリアージと一括修正によって、開発者が誤検出の確認に費やす時間は減り、実際のリスクを下げる修正のリリースに時間を使えるようになります。

GitLab Duo Agent Platformの無料トライアルを開始して、今すぐお試しください。

よくあるご質問

SASTの誤検出判定とエージェント型脆弱性の修正の一括実行は、GitLab Duo Agent Platformのクレジットを消費しますか
はい、消費します。詳細は料金ページをご確認ください。

一括でのトリアージと修正は、1件ずつ実行するよりクレジットを多く消費しますか
いいえ。検出結果1件あたりの実行単価は変わりません。一括実行は、手動で1件ずつ起動する代わりに、多数をまとめてキューに入れるだけです。

一括トリアージの対象となる脆弱性は何ですか
脆弱性レポートに含まれるSAST脆弱性であれば、スキャナーの出自や重大度を問わず、すべて対象となります。

バックログ全体に対して実行すると、パイプラインが逼迫しませんか
いいえ。並行処理の上限があるため、一括ジョブがパイプラインの他の処理を圧迫することはありません。数千件の検出結果を処理しても、ビルド能力を犠牲にしません。

実行中の一括ジョブは停止できますか
はい。実行中はプログレスインジケーターで進捗を確認でき、いつでもキャンセルできます。