最新情報

企業は、コスト管理、データレジデンシー、または既存の契約活用を目的として、自社のモデルサブスクリプションを使用してDuo Agent Platformの機能を利用したいと考えています。BYOK Iteration 1は、GitLab AIゲートウェイを介したトークンベースの認証でお客様所有のプロバイダーを接続します。現在、以下の機能追加に取り組んでいます：

セキュリティチームは、テスト認証情報やダミー値として判明するシークレット検出の検出結果のトリアージに多くの時間を費やしています。AI駆動型の誤検出判定は、開発者が見る前に検出結果を分析し、テスト認証情報、サンプル値、プレースホルダーシークレットを明確な説明と信頼度スコアで識別します。この検出機能はSAST誤検出判定とは別です。本機能は以下を目的として構築されています：

GitLab Duo Chat（エージェント）は、ファイルアップロードとウェブコンテンツをファーストクラスのコンテキストとしてサポートする予定です。これにより、エージェントはリポジトリデータとともに、ドキュメント、ログ、仕様、その他のアーティファクトを対象に推論できるようになります。この拡張は以下を目的としています：

同じ脆弱性パターンがコードベース全体に現れる場合、各インスタンスに対して個別のマージリクエストを作成するとレビュー疲労が生じ、修正が遅くなります。この拡張機能は、脆弱性ごとのSAST修正フローに基づいて関連する検出結果を共有の根本原因で自動グループ化し、統合されたマージリクエストを生成します。以下の機能を予定しています：

現在、GitLabはデフォルトブランチの脆弱性のみを追跡しており、長期間存在するブランチからリリースする組織は、本番環境で実行されているコードのセキュリティ態勢の可視性がゼロです。非デフォルトブランチ追跡はSecurity Insightsへの要望として最も多く寄せられており、導入の障壁となっていることが確認されています。現在、以下に取り組んでいます：

以前に導入されたビジネスコンテキストセキュリティ属性は、セキュリティダッシュボード上でフィルタリング可能である必要があります。セキュリティマネージャーは、ビジネスインパクト、アプリケーション、ビジネスユニットなどでダッシュボードをフィルタリングできるようになります。以下を予定しています：

CI/CDインプットは現在、パイプラインレベルの設定に対して機能していますが、開発者はパイプライン内の個別の手動ジョブのパラメーターを設定できません。そのため、単純なパラメーター変更のためにコストの高いなパイプライン全体の再実行を強制されます。ジョブレベルのインプットにより、実行中にパラメーターが変更された場合に手動ジョブへの動的なパラメーター設定が可能になります。本機能は以下を目的として構築されています：

非デフォルトブランチ追跡をセキュリティダッシュボードとSBOMに拡張することで、脆弱性トレンド、依存関係リスト、SBOMエクスポートがすべてブランチ対応になります。この拡張は以下を目的としています：

CVSS重大度だけでは、脆弱性が積極的に悪用されているか、悪用される可能性があるかを判断できません。MR承認ポリシーのフィルター基準として既知の悪用された脆弱性（KEV）と悪用予測スコアリングシステム（EPSS）を追加することで、理論的な重大度から実際の悪用可能性に基づいたポリシー適用が可能になります。このフィルターは以下の目的で作成されています：

GitLabの最も多くリクエストされた機能の1つであり、移行を検討する組織にとって障壁となっていることが確認されています。現在、エピックはグループレベルのみで利用可能なため、チームは不要なサブグループを作成したり、マイルストーンを誤用したりせざるを得ません。プロジェクトレベルのエピックは以下のように強化されます：

GitLabは、マージリクエストごとの手動ステップを削減することでCODEOWNERSの割り当てを自動化し、開発者のボトルネック解消とレビュー選定リスクの低下を実現します。この機能は以下の目的で作成されています：

多くのチームは、GraphQLを通じてのみ利用可能な作業アイテム機能（カスタムステータス、カスタムフィールド、作業アイテムタイプ）の採用をためらっています。REST APIは、RESTに依存する統合、自動化スクリプト、ツールにとっての導入障壁が解消されます。このAPIは以下の目的で作成されています：

Wikiのディスカッションは関連するコンテンツから離れた場所で行われており、有効性の低下やコンテキストの切り替えの増加を招いています。インラインコンテキストコメント機能により、スレッド化されたディスカッションが特定のテキストに直接紐付けられ、参照しているコンテンツとの関連性が保たれます。現在、以下に取り組んでいます：

MavenがGAに昇格し、npmがベータ版に参入することで、エンタープライズで最も利用量の多い2つのアーティファクトエコシステムをカバーします。Docker Virtual RegistryもこのタイムフレームでGAを予定しています。年央までに、GitLabはMaven・Docker・npm向けのVirtual RegistryをGAとして提供できる見込みです。これらのレジストリは以下を目的として構築されています：

DORAメトリクス（デプロイ頻度、変更のリードタイム、変更失敗率、サービス復旧時間）は、ソフトウェアデリバリーパフォーマンスを測定する業界標準です。APIの完全な成熟は、プログラムによる利用における完全な機能パリティを意味します。このマイルストーンには以下が含まれる予定です：

セキュリティダッシュボードで始まったセキュリティ属性ストーリーは脆弱性レポートに到達します。チームはレポート上で直接アプリケーション、ビジネスユニット、またはチームで脆弱性をフィルタリングでき、フィルタリングされたURLをブックマークし、フィルタリングされたビューを共有できるようになります。このフィルターは以下の目的で開発されています：

低い重大度の脆弱性から拡張して、自動修正は設定可能な重大度レベルとバージョンターゲットをサポートします。現在、以下に取り組んでいます：

SASTはアプリケーションセキュリティの基盤であり続けていますが、CI/CD設定要件が導入の障壁を生み出しています。SASTスキャンプロファイルにより、セキュリティマネージャーはセキュリティインベントリを通じてプロジェクト全体に静的分析をデプロイでき、自動言語検出とUltimateでサポートされている言語の高度なSASTを備えています。このプロファイルは以下を目的として設計されています：

セキュリティマネージャーは、プロジェクトごとの手動設定なしでシークレットプッシュ保護を大規模にデプロイする必要があります。スキャン設定プロファイルにより、セキュリティインベントリを通じた一括有効化が可能になり、YAMLの変更や開発者の介入を必要とせずにプロジェクトを保護できます。このプロファイルは以下の目的で作成されています：

シークレットプッシュ保護がリアルタイムでコミットをブロックする一方、パイプラインスキャンはリポジトリ履歴やパイプラインアーティファクト内のシークレットを検出することで補完的なカバレッジを提供します。このプロファイルにより、セキュリティマネージャーは同じプロファイルベースのアプローチを使用して広範なシークレット検出を適用でき、設定オーバーヘッドなしで多層防御を作成できます。このプロファイルは以下を目的として構築されています：

スキャン設定プロファイルファミリーの完成として、依存関係スキャンプロファイルにより、セキュリティチームは開発者がCI設定を編集することなく、プロジェクト全体に依存関係スキャンを適用できるようになります。このプロファイルは以下を目的として作成されています：

独自の認証情報形式を持つ組織は、GitLabのビルトインルール以外に独自のシークレットパターンを定義する機能が必要です。カスタムルールにより、セキュリティチームはシークレット検出中に自動的に実装される組織固有のパターンを追加できます。この機能は以下を目的として設計されています：

デフォルトの脆弱性重大度は、常に組織のリスク優先度を反映しているわけではありません。セキュリティチームは、KEV/EPSS、CVSS、到達可能性、CVE、CWE、スキャンタイプを含むルールに基づいて重大度オーバーライドを自動化し、ビジネスニーズへのリスクマッピングと、従来は手動介入を要していたトリアージプロセスの自動化を実現できるようになります。このポリシーは以下を目的としています：

セキュリティチームは現在、脆弱性管理機能を使用するためにデベロッパーまたはメンテナーアクセスが必要であり、本来必要な権限を大幅に超えたロールを付与しています。セキュリティマネージャーロールはレポーターから継承し、セキュリティ固有のアクセス許可を追加します。このロールは以下を支援するために作成されています：

DartおよびFlutterのライセンス情報は現在UNKNOWNとして表示され、チームはライセンスコンプライアンスのために外部ツールに頼らざるを得ない状況です。pubパッケージマネージャーのライセンススキャンサポートは、急成長するFlutterエコシステムのこのギャップを埋めます。現在、以下に取り組んでいます：

パターンベースのシークレット検出は、認識可能なフォーマットを持たないadmin_password=Password123!のような汎用パスワードを見落とします。コンテキスト対応検出は、周囲のコードパターンと変数命名規則を分析することで汎用パスワードを識別し、現在のシークレット検出カバレッジを拡張します。現在、パイプラインでは以下に取り組んでいます：

悪意のあるパッケージを通じたサプライチェーン攻撃は即座のリスクをもたらします。数ヶ月間休止状態で存在する可能性があるCVEとは異なり、悪意のあるパッケージは取り込まれた瞬間に害をもたらします。GitLabは、チームがアクティブな脅威を識別して対応するのに役立つように、依存関係スキャン結果に直接悪意のあるパッケージを表示することを検討しています。以下を検討しています：

大規模なリポジトリでの高度なSAST分析はパイプラインジョブの時間制限を超える可能性があります。段階的スキャンは以前のスキャンからの結果をキャッシュし、変更されたコードのみを分析することで、スキャン時間を大幅に削減しながら正確な結果を生成します。これは高度なSASTの後方スライス処理とは独立したパフォーマンス改善の取り組みです。この最適化は以下を目的としています：

セキュリティダッシュボードは、ステークホルダーコミュニケーションとコンプライアンスドキュメント用のエクスポート可能な形式が必要です。PDFエクスポートは、適用されたフィルターとグループ化構成を使用してダッシュボードパネルを複製し、オフラインでの共有や保存に活用できます。このエクスポートは以下の目的で作成されています：

組織は、サプライチェーン全体でアーティファクトの出所と整合性を証明する必要があります。アテステーションAPI、UI統合、GitLab CLI（glab）コマンドによる検証でアーティファクトを認証し、コンテナイメージ署名と検証によりこれをコンテナエコシステムに拡張します。現在、以下に取り組んでいます：

read_apiやapiなどの広いPATスコープは、トークンが侵害された場合の被害範囲を拡大させます。きめ細かな権限設定により、特定のプロジェクトとグループに限定されたリソースおよび操作ごとのスコープでトークンを発行できるようになります。現在、以下に取り組んでいます：

CI変数でシークレットを管理するチームには、適切なライフサイクル管理、ローテーションリマインダー、詳細なアクセス制御が不足しています。GitLab Secrets Managerは、有効期限管理、環境/ブランチスコープ。ロールベースの権限を備えた専用のシークレットストレージを提供します。このマネージャーは以下に向けて拡張されています：

タグ付けとフィルタリングのために導入されたセキュリティ属性が、ポリシーエンジンに拡張されます。セキュリティチームは、カスタムセキュリティ属性を参照するポリシーを作成し、きめ細かなガバナンスルールを実現できるようになります。現在、以下に取り組んでいます：

セキュリティチームは、ポリシーを通じてスケジュールスキャン（夜間DAST、週次依存関係スキャン）を適用できるようになり、開発者のアクションなしに継続的なコンプライアンスを確保できます。このポリシーは以下を目的としています：