Neue Features und Updates

Verbindungen zu bestehenden Anbieterbeziehungen über das AI Gateway mit Token-Authentifizierung.

Unterstützung für Anbieter, die über das AI Gateway verfügbar gemacht werden.

Bewahrung bestehender Vertragshebelwirkung bei gleichzeitiger Nutzung von GitLabs agentischem Workflow-Layer.

Weitere Funktionen für Self-Hosted Duo Agent Platform und Modellauswahl, die in früheren Versionen eingeführt wurden.

Falschpositive proaktiv zu identifizieren, bevor sie Developer-Workflows erreichen

Klare Erklärungen und Konfidenzwerte für jede Bestimmung bereitzustellen

Massenabweisung für validierte Falschpositive zu unterstützen

Präzisions- und Recall-Metriken zu verfolgen, um die Erkennungsgenauigkeit kontinuierlich zu verbessern

DAP von reiner Repository-Überlegung zu quellübergreifender Fehlerbehebung, Planung und Analyse verschieben.

Teams ermöglichen, Protokolle, Spezifikationen und Dokumentation direkt in Agent-Gespräche zu teilen.

Reichhaltigeren Kontext für agentische Workflows wie Grundursachenanalyse und Incident-Triage unterstützen.

Kontextwechsel zwischen externen Dokumenten und GitLab reduzieren.

Mustererkennung zur Identifizierung ähnlicher Sicherheitslücken über Codebases hinweg.

Intelligente Gruppierung von Erkenntnissen nach Grundursache oder Behebungsstrategie.

Einzelne konsolidierte MRs, die mehrere verwandte Erkenntnisse adressieren.

Visuelle Clusterung in der Merge-Request-Schnittstelle für klaren Review-Kontext.

Konfiguration, welche Branches für das Sicherheitslücken-Management über den Standard-Branch hinaus verfolgt werden.

Lokale Scoping von Sicherheitslücken-Zustandsänderungen für jeden Branch mit einer Option für globale Änderungen.

Branch-bewusste Filterung im Sicherheitslücken-Bericht für Release-spezifische Sicherheitslage-Ansichten.

Sicherheitslücken-Management-Aktivität auf verfolgten Non-Default-Branches wie auf Standard-Branches.

Sicherheitsattribut-Filter auf dem Sicherheits-Dashboard hinzufügen, aufbauend auf Kontextfilterung.

Integration mit bestehenden Report Type und Project Filtern für kombinierte Ansichten.

Compliance-Teams ermöglichen, scoped Reports zu ziehen und Engineering Leads auf ihre Domain zu konzentrieren.

Eine Grundlage für Sicherheitslücken-Bericht-Attribut-Filterung in nachfolgenden Iterationen hinzufügen.

Individuelle Job-Parameterkonfiguration ohne vollständige Pipeline-Neuläufe zu ermöglichen.

Dynamische Eingaben basierend auf früheren Job-Ausgaben oder externen Bedingungen zu unterstützen.

Bereitstellungsfehler durch Parameterabweichungen zu reduzieren.

Eine einfache Migration von anderen Tools ohne Jenkins für Enterprise-CI/CD-Konsolidierung bereitzustellen.

Sicherheitslücken-Trends und SBOM-Exporte Branch-bewusst für Organisationen mit langlebigen Release-Branches machen.

CycloneDX-, JSON- und SPDX-Exportformate, die auf bestimmte Branches beschränkt sind, unterstützen.

Lokale vs. globale Sicherheitslücken-Zustandsänderungen mit Branch-scoped Erkennungs-Zeitstempeln verfolgen.

KEV und EPSS als Filteroptionen in MR-Approval-Richtlinien hinzufügen.

Richtlinien wie "Merge blockieren, wenn eine Abhängigkeit einen bekannten Exploit hat" unterstützen.

Integration mit Abhängigkeits- und Container-Scanning-Ergebnissen.

Fokus auf Durchsetzung von Erkenntnissen, die tatsächliches Risiko darstellen, statt theoretischem Schweregrad.

Epics auf Projektebene für Premium-Tarif verfügbar zu machen.

Roadmap-, Board- und View-Verfügbarkeit im Projektkontext zu unterstützen.

Die Notwendigkeit von Untergruppen-Workarounds zur Gruppierung von Issues innerhalb eines Projekts zu entfernen.

Die Anforderungen von Kunden, die migrieren möchten, durch projektscoped Planung zu adressieren.

Reviewer automatisch basierend auf CODEOWNERS-Mustern, die gegen MR-geänderte Dateien abgeglichen werden, zuzuweisen.

Sowohl Gruppen- als auch individuelle Benutzer-Zuweisungen zu unterstützen.

Manuelle Überschreibung mit Audit-Trail für automatische vs. manuelle Zuweisungen zu bewahren.

Die Grundlage für DAP-gestützte intelligente Reviewer-Auswahl zu legen, die Expertise und Verfügbarkeit berücksichtigt.

Bestehende Work-Item-Finder und Services mit GraphQL-exponierten Operationen zu umhüllen.

Adoption von benutzerdefinierten Status, Feldern und Typen für REST-abhängige Teams zu entsperren.

Eine konsistente Schnittstelle für Automatisierung und Drittanbieter-Integrationen bereitzustellen.

Ein Hindernis für Teams, die GitLab für Projektmanagement evaluieren, zu entfernen.

Inline-Kommentare zu hervorgehobenem Wiki-Inhalt.

Threaded Diskussionen, die an bestimmte Textauswahlen gebunden sind.

Diskussions-Sichtbarkeitsindikatoren auf Wiki-Seiten.

Integration des bestehenden Wiki-Berechtigungsmodells.

Maven mit Allow/Deny-Filterung, Lifecycle-Richtlinien, Geo-Unterstützung und Analytics zur Produktionsreife zu bringen.

Die Virtual-Registry-Architektur auf npm für JavaScript/Node.js-Teams zu erweitern, mit GA nach Beta als Ziel.

Docker Virtual Registry von Experiment zu GA zu verschieben und die Container-Image-Lösung zu vervollständigen.

API-Abdeckung für alle vier DORA-Metriken.

Unterstützung für Dashboards, Executive Reporting und automatisierte Benachrichtigungen ohne Abhängigkeit von der GitLab-UI.

Verbesserte CI/CD-Job-Metriken und Analytics-Verbesserungen aus früheren Versionen.

Geschäftskontext-Filterung im Sicherheitslücken-Bericht auf Gruppenebene hinzufügen.

URL-Lesezeichen für gefilterte Ansichten zu unterstützen.

Die Geschäftskontext-Filterungsschleife vom Dashboard zum Bericht zu vervollständigen.

Aufbauend auf Sicherheitsattributen und Dashboard-Attribut-Filtern.

Ziele für konfigurierbare Schweregrad-Level von LOW bis CRITICAL.

Unterstützung für Versionsziel-Auswahl (MAJOR, MINOR, PATCH).

Angebot von gruppierten oder individuellen MR-Optionen für Dependency Bumps.

Einschließlich UI-Indikatoren, die Auto-Behobene Sicherheitslücken hervorheben.

Projektsprachen und geeignete Analyzer automatisch zu erkennen.

Advanced SAST für unterstützte Sprachen automatisch anzuwenden.

Verwaltung auf Gruppenebene durch Security Configuration und Inventory zu unterstützen.

Die gleichen Interaktionsmuster wie Secret Push Protection Profile zu befolgen.

Massen-Schutz über Projekte hinweg durch die Security Inventory-Schnittstelle bereitzustellen.

Einen Zero-YAML-, Profil-basierten Ansatz zu haben, der mit anderen Scan-Profilen konsistent ist.

Projekt-Level-Kontrolle für Teams mit Edge Cases bereitzustellen.

Ein Grundlagenmuster für zusätzliche Scan-Profil-Typen zu etablieren.

Historische Repositorys nach zuvor committeten Geheimnissen zu scannen.

Pipeline-Artefakte für offengelegte Anmeldedaten abzudecken.

Komplementäre Abdeckung neben Secret Push Protection bereitzustellen.

Gestaffelte Rollouts zu unterstützen, um Infrastruktur-Überlastung zu verhindern.

Dependency Scanning über Projekte hinweg durch Security Inventory.

Den gleichen Zero-YAML-, Profil-basierten Enablement-Ansatz wie Secret Detection und SAST Profile zu bewahren.

Konfigurationsaufwand für Teams, die umfassende Sicherheits-Scanning übernehmen, zu reduzieren.

Organisationen ermöglichen, benutzerdefinierte Geheimnis-Muster für proprietäre Anmeldedaten-Formate zu definieren.

Benutzerdefinierte Regeln neben integrierten Erkennungsregeln automatisch durchzusetzen.

Organisationsspezifische Lecks zu erfassen, die generische Muster-basierte Regeln verpassen.

Geheimniserkennung-Abdeckung zu erweitern, um organisatorische Sicherheitsanforderungen zu erfüllen.

Schweregrad-Anpassungen mit KEV-, EPSS-, CVSS- und Erreichbarkeitssignalen automatisieren.

Neue Sicherheitslücken, die Richtlinienbedingungen erfüllen, schnell verarbeiten.

Kritisches/hohes Sicherheitslücken-Rauschen durch intelligente Priorisierung reduzieren.

Ein Audit-Trail von Richtlinien-gesteuerten Schweregrad-Änderungen für Compliance-Sichtbarkeit bereitzustellen.

Sicherheitslücken-Management-, Dashboard-, Richtlinien- und Compliance-Funktionszugriff ohne Über-Privilegierung bereitzustellen.

Eine nicht-hierarchische Rolle einzuführen, die das lineare Guest-to-Owner-Vererbungsmodell bricht.

Promotion auf der Seite "Mitglieder einladen" für einfache Zuweisung zu unterstützen.

Erstellung einer Aufnahme von Lizenzdaten für den pub-Paketmanager.

Entfernung des UNKNOWN-Lizenzstatus mit genauer Sichtbarkeit.

Unterstützung der Richtliniendurchsetzung für Dart/Flutter-Lizenz-Compliance.

Reduzierung der Abhängigkeit von externen Lizenzdatenquellen.

Kontextabhängige Filterung, um falsch-negative Ergebnisse für generische Passwörter zu reduzieren.

Erkennung von Passwörtern, die gemeinsamen Anmeldedaten-Variablenmuster zugewiesen sind.

Erweiterte Abdeckung über Format-spezifische Geheimnis-Typen hinaus.

Reduziertes Expositionsrisiko von versehentlich committeten Anmeldedaten.

Kritische Schweregrad-Kennzeichnung für bösartige Pakete mit klaren "MAL-"-Kennungen für sofortige Erkennung.

Erkennung von Anmeldedaten-Diebstahl-, Datenexfiltrations-, Botnet- und Datenbankkorruptions-Angriffsvektoren.

Integration mit Sicherheitslücken-Berichten und Abhängigkeitslisten für einheitliche Sicherheitssichtbarkeit.

Richtlinien-Unterstützung für automatisches Blockieren bösartiger Pakete in Merge Requests.

Ergebnisse aus rechnerisch teuren Analyseaufgaben zwischenspeichern.

Scan-Zeit für Repositorys mit inkrementellen Änderungen reduzieren.

Genaue Ergebnisse, die nicht-inkrementellen Scans entsprechen, liefern.

Adoption großer Repositorys von Advanced SAST unterstützen.

Sicherheitslücken-Zähler, Trends, Risikobewertungen und Altersmetriken abzudecken.

Angewendete Filter und Group-By-Konfigurationen zum Exportzeitpunkt zu berücksichtigen.

Inhaltsverzeichnis und erklärende Inhalte für jedes Modul einzubeziehen.

Ein E-Mail-bereites Format für Stakeholder-Verteilung zu produzieren.

Attestations-API für Consumer-Lookup und Verifizierung bereitzustellen.

UI-Integration, die Attestationen mit Builds mit Projekt-Level-Ansichten verknüpft.

Container-Image-Signierung und Verifizierung für Supply-Chain-Integrität zu unterstützen.

GitLab CLI (glab)-Attestations-Verifizierung für Command-Line-Workflows anzubieten.

Breite Scope-Kategorien durch ressourcenspezifische Berechtigungen zu ersetzen.

Token-Grenzen auf bestimmte Projekte und Gruppen zu beschränken.

Durchsetzung über REST- und GraphQL-APIs mit dokumentierten Berechtigungsanforderungen.

Sichtbarkeit des Anmeldedaten-Inventars für angewendete Berechtigungen bereitzustellen.

Geheimnis-Erstellung mit Ablauf und Umgebungs-/Branch-Scoping zu unterstützen.

Rotationserinnerungen für proaktive Anmeldedaten-Verwaltung bereitzustellen.

Granulare CRUD-Berechtigungen auf Projekt- und Gruppenebene anzubieten.

Abhängigkeit von Drittanbieter-Secrets-Managern für CI-Workflows zu reduzieren.

Verbindung von Sicherheitsrichtlinien mit Geschäftskontext-Attributen wie Geschäftsauswirkungen, Anwendung und Geschäftsbereich.

Unterstützung gezielter Richtliniendurchsetzung, die auf bestimmte Asset-Klassifizierungen beschränkt ist.

Validierung von Richtlinien-Attribut-Kombinationen durch initiale Tests.

Geplante Sicherheits-Scans über Richtlinie durchsetzen, ohne Developer-Pipeline-Konfiguration zu erfordern.

Kontinuierliche Compliance-Abdeckung für sicherheitskritische Scan-Typen bereitzustellen.

Sicherstellen, dass Organisationen Scan-Rhythmus unabhängig von Entwicklungsaktivität beibehalten.

Aufbauend auf Test-Run-Validierungsfunktionen für Vertrauen vor Production-Rollout.