GitLab 19.4: szigorúbb MCP-szabályozás és új AI-eszközök

Szabályozhatóbbá válnak az MCP-eszközök

A GitLab 19.4 szeptember 17-én jelent meg. Az egyik kiemelt újdonság, hogy a GitLab MCP-szerver eszközei ugyanazon a felületen szabályozhatók, mint a GitLab Duo Agent Platform belső eszközei. A beállítások csoport- és projektszinten, a GitLab Duo konfigurációiban jelennek meg.

Az egyes eszközökhöz külön mód rendelhető. Az olvasási funkciók alapértelmezés szerint Always Allow állapotban vannak, így a rutinlekérdezések megszakítás nélkül futhatnak. Az írási és törlési műveletek alapértelmezett módja Always Ask, amely ellenőrzési pontot ad, mielőtt egy ügynök módosítást hajtana végre.

A Premium és Ultimate csomagban elérhető, béta állapotú funkcióval teljes külső MCP-szerverek vagy azokon belüli egyedi eszközök hozzáférése is engedélyezhető vagy letiltható. A GitLab szerint így az AI-ügynökök csak a számukra kijelölt MCP-eszközöket használhatják. A szabályozás az Agentic Chat, a Flows, valamint az IDE- és CLI-környezetek működésére is érvényes.

Új biztonsági és licencelési képességek

Az Ultimate csomag része lett a Vulnerability Context Flow, amely a sérülékenységek osztályozásához állít elő kiegészítő környezetet. A folyamat három szempontot vizsgál: szükséges-e hitelesítés a sérülékeny kód kihasználásához, emelt vagy standard jogosultság kell-e hozzá, illetve kezel-e az érintett kód érzékeny adatokat. Ez utóbbi körbe a GitLab példái szerint a személyes adatok, a hitelesítő adatok, a tokenek, a fizetési adatok és az egészségügyi adatok tartoznak.

Az Advanced SAST mostantól Kotlin, Dart és Scala kódbázisokat is vizsgál mély taint-elemzéssel. A Kotlin-ellenőrzés többek között az Android API-khoz kapcsolódó SQL-befecskendezést, nem biztonságos WebView-használatot, operációs rendszer szintű parancs-befecskendezést, beégetett hitelesítő adatokat és gyenge titkosítást céloz. Dart esetén a Flutter és a Dio keretrendszerét felismerő vizsgálat az SSRF-et, az útvonal-bejárást, a parancs-befecskendezést és a titkosítatlan HTTP-t is kezeli. Scala esetén a Play, a Slick és az Akka keretrendszerhez kapcsolódó szabályok többek között SQL-befecskendezést, SSRF-et, nyílt átirányítást, útvonal-bejárást, parancs-befecskendezést és XSS-t vizsgálnak.

A függőség- és licencvizsgálat mostantól SPDX-licenckifejezéseket is kezel. Az olyan összetett megjelölések, mint az MIT OR Apache-2.0 vagy a GPL-2.0-only WITH Classpath-exception-2.0, megjelennek a függőségi listában, és a licencjóváhagyási szabályzatok ugyanúgy engedélyezhetik vagy tilthatják őket, mint az egyetlen licencet tartalmazó függőségeket. A CycloneDX SBOM-okban szereplő kifejezéseket a GitLab 19.3 óta támogatja, a 19.4-es kiadás pedig a szinkronizált licencadatokra is kiterjeszti ezt a támogatást.

Az AI-ügynökök több fejlesztési műveletet végezhetnek

A GitLab Duo CLI Premium és Ultimate csomaghoz tartozó változatában megjelent a /goal parancs. A felhasználó egy nyitott végű célt adhat meg, amelyet a helyben futó, szabályozott folyamat hajt végre és ellenőriz. A rendszer egy független bírót használ annak eldöntésére, hogy teljesült-e a cél, vagy elérte-e az iterációs korlátot. A felhasználó közben szüneteltetheti, módosíthatja vagy átirányíthatja az ügynököt. A parancs használatához GitLab 19.3 vagy újabb, valamint GitLab Duo CLI 9.17.0 vagy újabb szükséges.

Az MCP-szerver új CI/CD-eszközei lehetővé teszik, hogy az ügynökök bármely MCP-kliensből indítsanak, vizsgáljanak és vezéreljenek folyamatokat. A save_pipeline futtatni, újraindítani vagy megszakítani tud egy pipeline-t, a get_job pedig a feladat adatai mellett a futási naplót is visszaadja. Így az ügynök egy sikertelen build naplóját is elolvashatja.

Az új merge request eszközök a teljes folyamatot lefedik. A save_merge_request új MR-t nyit vagy frissít, a get_merge_request részletes adatokat, új diffeket, ütközéseket és jóváhagyásokat vizsgálhat, a save_merge_request_review pedig soronkénti megjegyzéseket hagyhat. Az accept_merge_request az ellenőrzések sikeres lefutása után egyesítheti az MR-t, és jóváhagyhatja vagy visszavonhatja a jóváhagyást.

Az ügynökök mostantól projekteket kereshetnek és olvashatnak a list_projects eszközzel, felhasználói adatokat kérhetnek le a get_user segítségével, valamint böngészhetik a projektstruktúrát és a commitelőzményeket, illetve változtatásokat javasolhatnak az új repository-eszközökkel.

Slackből és VS Code-ból is elérhetők az AI-folyamatok

A GitLab Duo Slack-integráció kísérleti funkcióként közvetlenül a Slack-csatornákból és beszélgetésekből indít agent flow-kat. A felhasználó bármely csatornában vagy szálban megemlítheti a GitLabot az @GitLab használatával. Az integráció válaszokat kérhet le a kódbázisból, GitLab-issue-kat hozhat létre, és a folyamat állását valós időben visszaírja a Slack-szálba. A válaszok értékelésére tetszik és nem tetszik gomb is rendelkezésre áll.

A GitLab for VS Code bővítményben béta állapotban elérhetővé vált a flow builder. A vizuális szerkesztőben Agent, Custom tool és AI task komponensekből lehet egyedi folyamatokat összeállítani, vagy közvetlenül módosítható a mögöttes YAML. A folyamat a Run gombbal tesztelhető, a kész flow pedig közzétehető az AI Catalogban. A funkcióhoz a GitLab for VS Code 6.87.0 vagy újabb verziója és a gitlab.featureFlags.flowBuilder beállítás engedélyezése szükséges.

A GitLab 19.4 a felhasználók számára elsősorban több ellenőrzési lehetőséget ad az AI-ügynökök felett, miközben az ügynökök több GitLab-műveletet végezhetnek el közvetlenül. A vállalat több újdonságot Free, Premium és Ultimate szinten kínál, egyes biztonsági funkciók, a Vulnerability Context Flow és az Advanced SAST bővítései viszont Ultimate csomaghoz kötöttek.