A GitLab szerint gépi sebességre kell kapcsolni a sérülékenységek javítását

Egyre nagyobb a nyomás a biztonsági csapatokon

A GitLab 2026. október 28-i közleménye szerint az élvonalbeli mesterségesintelligencia-modellek olyan összetett hibákat is képesek feltárni, amelyeket a hagyományos eszközök korábban figyelmen kívül hagytak. Ugyanezeket a modelleket a támadók is használhatják a sérülékenységek gyorsabb kihasználására.

A Verizon 2026 Data Breach Investigations Report adataira hivatkozva a GitLab azt írja, hogy egy ismerten kihasznált sérülékenység teljes kijavításának medián ideje 43 napra nőtt a 2025-ös 32 napról. A jelentés szerint a betörések 31 százaléka már sérülékenység kihasználásával kezdődik, amely első alkalommal lett a leggyakoribb kezdeti hozzáférési útvonal a jelentés 19 éves történetében.

Egy kritikus hiba, például a PHP2Shell felfedezése után a szervezeteknek fel kell mérniük az érintettséget több száz vagy akár több ezer tároló, alkalmazás és függőség között. Ezután következik a kihasználhatóság vizsgálata, a javítások rangsorolása, a tesztelés és a kiadás. A GitLab szerint a kézi vizsgálatokra, hibajegyekre és fejlesztői javításokra épülő folyamatot egyre nehezebb fenntartani.

Az ügynökök a fejlesztési folyamatba kerülnek

A GitLab az autonóm biztonsági munkafolyamatokat közvetlenül abba a környezetbe helyezné, ahol a csapatok a szoftvert fejlesztik, tesztelik és kiadják. A vállalat szerint egy ügynök másodpercek alatt létrehozhat egy javítást, de külön kérdés, hogy megértette-e az alkalmazást, a módosítás megfelel-e a valódi buildnek, és betartja-e a biztonsági szabályokat.

A GitLab Orbit a szoftveréletciklus élő kontextusgráfjaként kapcsolja össze a találatokat az azokat bevezető módosításokkal, a kiadást végző folyamatokkal és a javításért felelős csapatokkal. A GitLab Duo Agent Platform ennek a kontextusnak a felhasználásával vizsgálja a megállapításokat, kiszűri a valószínű téves riasztásokat, majd a kihasználhatóság és az elérhetőség alapján rangsorol.

A fontosnak ítélt hibákhoz a Duo javítást készít, azt a folyamaton keresztül ellenőrzi, regressziós teszteket futtat és újra elvégzi a biztonsági vizsgálatokat. A fejlesztők egyetlen merge requestben tekinthetik át a módosítást, az ügynök magyarázatát és a folyamat eredményeit.

Claude Mythos 5.1 és beépített korlátok

A GitLab új Business Logic Security Analyzer képessége az első olyan GitLab-funkció, amely támogatja az Anthropic Claude Mythos 5.1 modellt. Az eszköz a teljes tárolót és a beérkező merge requesteket vizsgálja, következtet az egyes végpontok által érvényesítendő szabályokra, és olyan hiányosságokat keres, amelyeket a mintázatalapú szkennerek gyakran nem találnak meg. Ide tartozhatnak a hiányzó jogosultság-ellenőrzések, a hibás tulajdonosi logika és az üzleti logikai hibák.

A GitLab Ultimate statikus elemzést, függőség- és konténervizsgálatot, titokfelismerést, szabályérvényesítést és jóváhagyási kapukat kínál közvetlenül a szoftverszállítási folyamatban. A központilag beállított szabályok minden projektre és folyamatra érvényesek, ezért az azokat értékelő ellenőrzéseket sem ember, sem ügynök nem módosíthatja vagy kerülheti meg.

A Dependency Firewall szabályt sértő csomagokat blokkolja, mielőtt bekerülnének a buildbe. A GitLab Secrets Manager a GitLab szerint csak a kért és engedélyezett hitelesítő adatokhoz ad hozzáférést az egyes feladatoknak. A Duo Agent Platform minden ügynökhöz összetett identitást rendel, korlátozza a jogosultságokat, a feladat végén megsemmisített homokozót használ, és rögzíti az összes műveletet.

A GitLab szerint ez a megközelítés a biztonsági ügynököket a meglévő fejlesztési folyamatok, tesztek, szabályok és emberi ellenőrzés keretei között működteti. A vállalat arra hívja fel a figyelmet, hogy a modellek fejlődésével egyre fontosabb lesz, milyen gyorsan tud egy szervezet egy kritikus felfedezésből ellenőrzött, megbízható és éles környezetbe juttatható javítást készíteni.