Monday Merge 9月号：攻撃対象領域は変化しています。セキュリティモデルは追いついていますか？

ソフトウェアサプライチェーンがいかに急速に変化しているかを、改めて示す出来事がありました。

広範なパッケージエコシステムを狙った攻撃は、依存関係の侵害だけにとどまりませんでした。開発者の認証情報を標的にし、信頼された開発ワークフローを悪用し、開発者が日常的に使う環境を通じて新たな拡散経路を見つけ出したのです。

ここに注目する必要があります。

攻撃対象領域は、もはやコードだけではありません。コードを取り巻く環境全体です。

そしてAIは、その環境をより強力に、より相互接続されたものへと変えています。

エージェントは、リポジトリやツール、インフラストラクチャと連携できます。認証情報やコンテキストは、より多くのシステム間を行き来します。これまで開発者の介入が必要だったアクションも、自動化によって実行できるようになります。

だからといって、AIの活用を遅らせるべきということではありません。

重要なのは、セキュリティ、ガバナンス、コントロールも、ソフトウェアの開発方法と同じスピードで進化させることです。

そして、これこそが今月取り上げる多くのテーマに共通する考え方です。

GitLab 19.3：コントロールを組み込んだまま、エージェント型AIをスケール

AIがソフトウェア開発ライフサイクル全体で担う仕事を増やすなか、求められるのは単に自動化を増やすことではありません。可視性やコントロールを失うことなく、自動化を進めることです。

GitLab 19.3は、この両方を前進させます。

注目の新機能の一つが、フロークリエーターの基本エージェントです。AIカタログに搭載された専用の基本エージェントで、自然言語の会話を通じてGitLab Duo Agent Platform向けのカスタムフローを作成できます。フローに実行させたい内容を説明するだけで、完全な実行可能フローYAMLを生成し、既存フローのデバッグも支援します。

この自動化の進化とともに、セキュリティも進化しています。

GitLab Secrets Managerは現在、GitLab.comで限定提供中です。認証情報を、パイプラインを実行するのと同じプラットフォーム内で一元管理できます。各シークレットは、環境、ブランチ、ブランチ保護設定に基づいて、それを必要とするジョブにスコープが限定されます。

シークレット検出では、デフォルトブランチへのプッシュ時に、すべてのコミット差分をスキャンできるようになりました。これにより、パイプラインの完了前に削除された場合でも、一時的にリポジトリ履歴に含まれたシークレットを検出できます。

また、セキュリティチームは複数の脆弱性を選択し、SAST脆弱性修正フローとSAST誤検出判定フローをまとめて実行できるようになりました。セキュリティバックログの対応にも、エージェント型AIを大規模に活用できます。

19.3には、エージェント型AI、セキュリティ、CI/CD、プラットフォーム管理に関するさらに多くのアップデートがあります。

GitLab 19.3の新機能をすべて見る →

AIにも、信頼の境界線が必要です

組織がAIの試験導入から、日常的なソフトウェアデリバリーへのエージェント組み込みへと進むなか、重要性を増している問いがあります。

AIは、どこでデータを処理していますか？

データレジデンシー、セキュリティ、コンプライアンスの要件が厳格な組織にとって、推論がどこで実行されるかは重要です。

そこで役立つのが、**GitLab Dedicated向けAIゲートウェイ**です。

GitLab Dedicatedは、GitLabが管理し、組織が選択したクラウドリージョンにデプロイされる、シングルテナントのGitLabインスタンスを提供します。AI Gatewayは、この同じシングルテナント環境内で実行できるため、AIによって処理されるデータを、すでに選択している環境とリージョン内に保持できます。

組織は、AWSリージョン内のAmazon Bedrockを通じてホストされるモデルを含め、自社のポリシーに沿ったモデルを接続することもできます。

つまり、カスタムコードレビューや失敗したパイプラインの修正、セキュリティ分析など、GitLab Duo Agent Platformの機能を、組織がすでに理解しているデプロイメントモデルとコントロールの中で利用できます。

エージェントがソフトウェアデリバリーのインフラの一部になるなら、信頼もエージェントとともにあるべきです。

GitLab Dedicated向けAIゲートウェイの詳細を見る →

スケールさせるのはパイプラインであって、Runnerフリートではない

AIは、ソフトウェアの作られ方だけを変えるものではありません。

エージェント型ワークフローがより多くのタスクを担うようになると、CI/CDで実行される処理も増え、その基盤となるインフラに新たな負荷がかかります。

GitLab Dedicatedを利用するチームにとって、次のような実務的な問いが生まれます。

Runnerフリートを自社で保有し続ける必要はあるでしょうか？

**GitLab Dedicated用のホストされるRunner**は、Dedicated環境に求められる分離性とデータレジデンシーを維持しながら、Runnerインフラのプロビジョニング、パッチ適用、スケーリングをGitLabに任せられるようにします。

各CIジョブは、新たにプロビジョニングされた専用の短期VMで実行され、ジョブ完了後に削除されます。急増するCI需要に合わせてキャパシティをスケールできるため、プラットフォームチームは、インフラコストとパイプラインの待ち時間のバランスを継続的に取る必要がなくなります。

ホストされるRunnerは、AWS PrivateLinkを介して、社内のアーティファクトレジストリ、シークレットマネージャー、デプロイ先にも安全に接続できます。GitLabは99.9%の稼働率SLAを提供します。

その結果、プラットフォームチームが管理すべきインフラを削減しながら、GitLab Dedicatedを選んだ理由であるコントロールを手放す必要もありません。

GitLab Dedicated用のホストされるRunnerの概要とデモ

GitLab Dedicated用のホストされるRunnerの詳細を見る →

今チェックしておきたい情報

• コードが量産できる時代の新たなボトルネック
• Tech Disruptors
• AI支援によるソフトウェア開発には、セキュリティチームの「エンジニアリングファースト」の考え方が必要
• GitLab CIOが、エージェント型AIを中心に働き方を再構築するなか「tokenmaxxing」を退ける｜Computer Weekly

9月のイベント

Agentic AI in Action｜9月17日｜オンライン｜APAC

当イベントでは、GitLab Duo Agent Platformの実践的なデモをご紹介しました。計画、コーディング、セキュリティ、運用の全体に、インテリジェントなオーケストレーションとAIによる自動化がどのように組み込まれるかを公開。

単にコードを速く書くだけでなく、コード品質とセキュリティを高めながら、デリバリーを加速する方法をご覧いただきました。

Agentic AI in Actionイベントページ→

AWS Cloud and AI Day Auckland｜9月22日｜ニュージーランド・オークランド

GitLabは、AWS Cloud and AI Day Aucklandのスポンサーとして参加します。

次のアプリケーションを構築する方、インフラをモダナイズする方、AIで組織をどう変革できるかを検討している方へ。本イベントでは、開発者、ITリーダー、ビジネスの意思決定者が集まり、クラウドとAIがビジネスのイノベーションとスケーリングをどのように変えているかを探ります。

AWS Cloud and AI Day Aucklandの詳細を見る →

今後開催予定のGitLabイベントをすべて見る →

エージェントのスピードがTranscendにやってくる

10月6日（火）｜オンラインライブ配信

コーディングエージェントは急速に進化しています。ソフトウェアライフサイクルのほかの領域も、それに追いつく必要があります。

GitLab Transcendライブ配信に参加し、新しいプラットフォーム機能を実際にご覧ください。レビュー、セキュリティ、リリースサイクル全体に、エージェント型AIのスピードを活かす方法を紹介します。

10月6日のライブ配信に今すぐ登録する →

10月9日（金）GitLab Epic Tour Japan｜TODA HALL & CONFERENCE TOKYO

AI駆動開発のトレンドをお届けするGitLabの年次カンファレンス。今年度は、生産性向上という「光」だけでなく、こうした「影」の部分にも踏み込んでまいります。最新のテクノロジーの動向はもちろん、国内企業の具体的な事例をはじめとした知見をご紹介します。

10月9日のGitLab Epic Tour Japanに今すぐ登録する →

9月のMonday Mergeは以上です

AIがソフトウェアライフサイクルのより多くを担うようになるなか、スピードは方程式の一部にすぎません。本当の可能性は、信頼、セキュリティ、コントロールも同じスピードで進化させることにあります。

それでは、また来月お会いしましょう！

Fatima Sarah Khalid｜Senior Developer Advocate, GitLab

このニュースレターが気に入ったら、ぜひチームに共有してください。 そして👉YouTubeチャンネルの登録もお忘れなく！

追伸：
お気づきかもしれませんが、今月のMonday Mergeは少し見た目と雰囲気が変わりました。よりシャープで、要点に絞り、読み進めやすいフォーマットに刷新しています。新しいデザインのご感想や、今後の号でより取り上げてほしい内容をぜひお聞かせください。