gitlab

GitLab을 사용하여 소프트웨어 개발을 쉽게 가르치는 방법 (새 탭에서 열림)

워싱턴 대학교의 Stephen G. Dame 강사는 'GitLab for Education' 프로그램을 활용해 대규모 소프트웨어 개발 강의의 과제 배포 및 피드백 과정을 효율적으로 관리하고 있습니다. GitLab의 그룹 및 하위 그룹 구조를 통해 복잡한 권한 설정을 체계화하고, 실제 현업과 유사한 워크플로우를 교육 현장에 도입하여 학생들에게 실무적인 개발 환경을 제공하는 것이 핵심입니다. 이를 통해 교강사는 행정적 부담을 줄이면서도 학생 개개인에게 구체적이고 맥락 있는 코드 리뷰를 전달할 수 있습니다. ### 그룹 및 하위 그룹을 활용한 체계적 구조 설계 * GitLab의 고유한 '그룹(Groups)' 및 '하위 그룹(Subgroups)' 기능을 사용하여 대학 부서, 강의, 역할별로 계층적인 구조를 설계합니다. * 최상위 그룹(예: UWTeaching) 아래에 개별 강의 하위 그룹을 두고, 그 안에 강의 자료, 학생 전용 그룹, 채점자 그룹 등을 구분하여 관리합니다. * 권한 상속 기능을 활용해 학생들에게는 '리포터(Reporter)' 권한을 부여함으로써, 강의용 템플릿 코드를 복제(Clone)하거나 가져올(Pull) 수는 있지만 원본 소스에 직접 푸시(Push)할 수는 없도록 제어합니다. * 학생들은 개인별 비공개 저장소를 생성하여 자신의 버전 히스토리를 관리하고, SSH 키 설정을 통해 로컬 환경이나 가상 머신에서 원활하게 작업할 수 있습니다. ### REST API 기반의 관리 자동화 * 수강생이 많은 대규모 강의의 경우, GitLab REST API와 Python 스크립트를 활용해 학생별 하위 그룹 생성 및 멤버 추가 과정을 자동화할 수 있습니다. * 학생의 사용자 이름을 기반으로 개인별 비공개 하위 그룹을 생성하고, 학기 종료 시점에 맞춰 권한이 자동으로 만료되도록 '만료일(Expiration date)'을 설정하여 보안을 유지합니다. * 이러한 자동화 워크플로우는 수동 관리에서 발생할 수 있는 실수를 방지하고 교강사가 교육 콘텐츠에 더 집중할 수 있는 시간을 확보해 줍니다. ### 머지 리퀘스트(Merge Request)를 통한 실무형 피드백 * 학생들은 과제 제출 시 '머지 리퀘스트(MR)'를 생성하며, 강사는 이를 통해 변경된 코드의 차이점(Diff)을 한눈에 확인하고 검토합니다. * 강사는 특정 코드 라인에 직접 인라인 댓글을 남겨 단순히 틀린 부분을 지적하는 것을 넘어, 왜 수정이 필요한지 맥락 있는 피드백을 제공합니다. * 학생들은 실제 현업의 필수 프로세스인 버전 관리와 코드 리뷰를 자연스럽게 경험하며 추상적인 개념이 아닌 실전적인 개발 습관을 체득하게 됩니다. ### 실용적인 권장 사항 처음 GitLab을 교육에 도입한다면 단일 강의 그룹과 기본 과제 템플릿으로 간단하게 시작하여 점진적으로 구조를 확장하는 것이 좋습니다. 'GitLab for Education' 프로그램을 신청하면 Ultimate 등급의 기능을 무료로 사용할 수 있으므로, 무제한 리뷰어 설정과 추가 컴퓨팅 리소스를 활용하여 교육의 질을 높일 것을 추천합니다.

GitLab 패치 릴리스: 18.11.2, 18.10.5 | GitLab 문서 (새 탭에서 열림)

GitLab은 GitLab Dedicated 고객의 재해 복구(DR) 목표인 RTO(복구 목표 시간)와 RPO(복구 지점 목표)를 안정적으로 달성하기 위해 관측성(observability) 간극을 해결한 18.11.2 및 18.10.5 패치 버전을 출시했습니다. 이번 릴리스는 보안 수정 사항을 포함하지 않는 대신, 시스템의 안정성을 저해하는 다수의 회귀 버그와 성능 이슈를 해결하는 데 집중했습니다. 사용자들은 이번 업데이트를 통해 AI 기능의 호환성을 높이고 특정 상황에서 발생하는 시스템 부하 문제를 해소할 수 있습니다. ### 주요 기능 개선 및 버그 수정 * **AI 및 GitLab Duo 기능 강화**: 셀프 호스팅 모델을 사용하는 환경에서도 Code Suggestion 기능을 사용할 수 있도록 지원을 추가했으며, Duo Core 사용자가 코드 리뷰 기능을 차질 없이 사용할 수 있도록 개선했습니다. * **시스템 성능 및 안정성 최적화**: 특정 사용자를 차단(Ban)할 때 Sidekiq 리소스 사용량이 급증하는 스파이크 현상을 해결하여 백그라운드 작업의 안정성을 높였습니다. * **관측성 지표 추가**: 동기화되지 않은 데이터의 가장 오래된 시간을 추적하는 `*_oldest_unsynced_time` 메트릭을 추가하여 시스템 상태 모니터링을 더욱 정교화했습니다. * **UI 및 워크플로우 개선**: 워크 아이템 페이지 로드 시 기존 필터를 초기화하여 사용자 경험을 개선했으며, 실패한 재할당 작업을 다시 시도할 수 있는 GraphQL mutation을 도입했습니다. ### 인프라 및 환경별 특이 사항 * **데이터베이스 및 마이그레이션**: 18.10.5 버전에서 이미 삭제된 테이블을 참조하는 마이그레이션을 건너뛰도록 수정(BBM)하여 업데이트 오류를 방지했습니다. * **Geo 및 설치 환경 호환성**: Geo 보조(Secondary) 노드에서 불필요한 워커 실행을 방지하도록 수정했으며, 상대 경로(Relative URL)를 사용하는 설치 환경에서 OAuth 탐색이 실패하던 문제를 해결했습니다. * **기능 롤백**: 18.11.2 버전에서는 역할 및 권한 활성화와 관련된 리팩토링(ia-refactor-role-permission-enablement) 내용을 이전 상태로 되돌려 안정성을 우선시했습니다. ### 업데이트 가이드 및 권장 사항 * **다운타임 발생 유의**: 단일 노드 인스턴스의 경우 마이그레이션이 완료될 때까지 서비스 가동이 중단되므로 작업 시간을 사전에 확보해야 합니다. * **제로 다운타임 업그레이드**: 다중 노드 환경에서는 GitLab의 표준 제로 다운타임 업그레이드 절차를 따르면 서비스 중단 없이 패치를 적용할 수 있습니다. * **사후 마이그레이션 실행**: 두 버전 모두 업그레이드 프로세스 종료 후 실행해야 하는 '사후 배포 마이그레이션(Post-deploy migrations)'을 포함하고 있으므로, 관리자는 업그레이드 완료 후 해당 작업이 정상적으로 수행되었는지 확인해야 합니다.

GitLab과 Anthropic: 엔터프라이즈 개발을 위한 거버넌스 AI (새 탭에서 열림)

GitLab은 Anthropic과의 협력을 강화하여 자사의 지능형 오케스트레이션 플랫폼에 최신 Claude 모델을 통합하고, 엔터프라이즈 환경에 최적화된 관리형 AI 서비스를 제공합니다. 이를 통해 기업은 최신 AI의 강력한 성능을 활용하면서도 GitLab이 제공하는 엄격한 거버넌스, 컴플라이언스 및 감사 기능을 그대로 유지할 수 있습니다. 결과적으로 보안과 규제 준수가 필수적인 공공 및 기업 환경에서 개발 속도를 안전하게 가속화할 수 있는 토대를 마련했습니다. **GitLab Duo와 Anthropic Claude의 통합** * Anthropic의 Claude 모델은 GitLab Duo 에이전트 플랫폼의 기본 모델로서 코드 생성, 코드 리뷰, 취약점 해결 및 에이전트 기반 채팅 등 다양한 유스케이스를 지원합니다. * 개발자들은 GitLab Duo를 통해 소프트웨어 개발 생명주기(SDLC) 전반의 워크플로우를 자동화하고 AI의 고도화된 추론 능력을 직접적으로 경험할 수 있습니다. **통제된 AI(Governed AI)를 통한 차별화** * AI가 제안하는 모든 코드 변경 사항은 별도의 특혜 없이 기존의 병합 요청(Merge Request) 프로세스, 승인 규칙, 보안 스캔 및 감사 추적 시스템을 동일하게 통과해야 합니다. * AI 에이전트가 자율적으로 취약점을 해결하거나 서비스를 리팩토링할 때, 모든 작업은 기록되고 추적 가능하며 인간 개발자와 동일한 정책 강제력을 적용받습니다. * 이는 AI의 자율성이 높아질수록 중요해지는 '책임성'과 '투명성'을 아키텍처 단계에서부터 보장하는 구조입니다. **엔터프라이즈 배포의 유연성 및 효율성** * Google Cloud Vertex AI 및 Amazon Bedrock을 통해 Claude 모델을 활용할 수 있어, 기업은 기존에 구축된 클라우드 거버넌스 프레임워크와 인프라를 그대로 이용할 수 있습니다. * 새로운 벤더 계약이나 데이터 거주성(Data Residency) 문제를 고민할 필요 없이 기존 Google Cloud 또는 AWS 환경 내에서 AI 워크로드를 처리할 수 있습니다. * Claude Marketplace에서 GitLab 크레딧을 구매하여 기존 Anthropic 지출 약정에 포함시킬 수 있는 통합 결제 방식을 통해 구매 절차를 단순화했습니다. **에이전트 중심의 소프트웨어 개발 미래** * GitLab은 AI 에이전트가 계획, 코딩, 테스트, 보안, 배포에 이르는 정의된 작업을 자율적으로 수행하는 미래를 지향하며, 이를 위해 Claude의 강력한 추론 능력과 신뢰성을 결합했습니다. * 거버넌스 프레임워크를 통해 AI 에이전트의 작업 시점과 내용에 대한 완전한 가시성을 제공함으로써, 기업이 통제권을 잃지 않고도 고도화된 자동화 단계로 진입할 수 있도록 돕습니다. 고급 AI 역량과 기업 수준의 강력한 통제권 사이에서 고민하는 기업이라면, GitLab Duo 플랫폼을 통해 보안이 담보된 지능형 DevSecOps 환경을 구축하는 것이 효과적인 전략이 될 것입니다. 현재 GitLab Duo를 사용 중인 고객은 기존의 거버넌스 틀 안에서 더 깊이 있는 AI 지원을 즉시 경험할 수 있습니다.

대규모 환경에서 CI/CD 관측성을 구축하는 방법 (새 탭에서 열림)

GitLab 셀프 매니지드 환경에서 CI/CD 가시성을 확보하는 것은 대규모 데브옵스 플랫폼의 성능 최적화와 안정적인 운영을 위한 필수 과제입니다. 이 글은 Prometheus와 Grafana, 그리고 전용 익스포터를 활용하여 원시 파이프라인 데이터를 실시간 대시보드로 변환하고 의사결정에 필요한 핵심 통찰을 얻는 기술적 방법론을 제시합니다. 이를 통해 기업은 인프라 투자 효율성을 높이고 병목 현상을 체계적으로 해결할 수 있는 데이터 기반의 관리 체계를 구축할 수 있습니다. ### 실시간 통찰을 위한 다층적 대시보드 구성 효과적인 CI/CD 옵저버빌리티를 위해 다음과 같은 네 가지 핵심 대시보드를 구성하여 운영 가시성을 확보합니다. * **파이프라인 개요 대시보드:** 전체 실행 횟수, 시간 흐름에 따른 성공/실패율, 평균 소요 시간 추이를 시각화합니다. 상태별 색상 코딩을 통해 플랫폼 팀이 성능 저하를 즉각적으로 감지할 수 있도록 합니다. * **작업(Job) 성능 대시보드:** 개별 작업의 실행 시간 분포(히스토그램)와 가장 느린 상위 10개 작업을 분석합니다. 프로젝트 및 스테이지별 실패 히트맵을 통해 최적화가 필요한 병목 지점을 특정합니다. * **러너 및 인프라 대시보드:** Node Exporter의 호스트 지표(CPU, 메모리, 디스크)와 파이프라인 대기 시간을 결합하여 분석합니다. 인프라 포화도와 작업 지연의 상관관계를 파악하여 러너 스케일링이나 인스턴스 업그레이드 등의 용량 계획 수립에 활용합니다. * **배포 빈도 대시보드:** 환경별 배포 횟수와 소요 시간을 추적하여 DORA 지표를 관리합니다. 엔지니어링 리더십은 이를 통해 릴리스 속도와 메인 브랜치 대비 커밋 지연 상태(Environment Drift)를 점검할 수 있습니다. ### 옵저버빌리티 구현을 위한 핵심 기술 스택 GitLab의 원시 데이터를 수집하고 시각화하기 위해 두 가지 주요 익스포터와 컨테이너 기반 인프라를 사용합니다. * **GitLab CI Pipelines Exporter:** GitLab API를 통해 파이프라인 소요 시간, 작업 상태, 배포 정보 등 CI/CD 관련 핵심 메트릭을 수집합니다. * **Node Exporter:** 러너가 실행되는 호스트의 하드웨어 및 OS 지표를 수집하여 인프라 수준의 통찰을 제공합니다. * **Grafana 파일 기반 프로비저닝:** 모든 대시보드를 코드로 관리하고 자동으로 배포하여 여러 환경에서 일관된 모니터링 환경을 유지합니다. 프로젝트나 브랜치별 필터링을 위한 변수 설정이 가능합니다. ### 엔터프라이즈급 Kubernetes 배포 아키텍처 대규모 환경에서는 확장성과 보안을 위해 Kubernetes 클러스터에 각 컴포넌트를 분리된 Deployment로 배포하는 것이 권장됩니다. * **네임스페이스 및 보안 관리:** `gitlab-observability`와 같은 전용 네임스페이스를 생성하고, GitLab API 접근을 위한 Personal Access Token(`read_api` 권한)을 Kubernetes Secret으로 안전하게 관리합니다. * **익스포터 배포:** `gitlab-ci-pipelines-exporter`를 Deployment로 구성하고, ConfigMap을 통해 수집 대상 프로젝트 및 설정을 주입합니다. * **데몬셋 활용:** `Node Exporter`는 DaemonSet으로 배포하여 클러스터 내 모든 노드의 메트릭을 빠짐없이 수집합니다. * **Prometheus 통합:** 수집된 모든 메트릭은 Prometheus로 집계되며, 이를 Grafana의 데이터 소스로 연결하여 시각화 체계를 완성합니다. 대규모 CI/CD 환경을 운영하는 조직이라면 단순한 로그 확인을 넘어, 이와 같은 통합 옵저버빌리티 스택을 구축할 것을 권장합니다. 특히 인프라 비용 최적화와 개발 생산성 향상을 목표로 한다면, DORA 메트릭과 인프라 지표를 연계한 분석이 병목 현상 해결의 결정적인 열쇠가 될 것입니다. 중간 규모 이하의 환경이나 PoC 단계에서는 Docker Compose를 통해 빠르게 프로토타입을 구축해본 후 Kubernetes로 확장하는 전략이 효과적입니다.

19.0 Omnibus-GitLab FIPS 패키지에서 curl 제거 (새 탭에서 열림)

GitLab은 2026년 5월 출시 예정인 19.0 버전부터 Omnibus-GitLab FIPS 패키지 내부에 자체 빌드하여 포함하던 `curl`을 제거합니다. 앞으로 FIPS 환경의 사용자들은 GitLab이 제공하는 번들 대신 사용 중인 Linux 배포판의 `curl` 패키지를 직접 활용하게 되며, 이는 기존의 OpenSSL 라이브러리 관리 방식과 동일한 모델로 통합되는 것입니다. 이번 변경을 통해 GitLab은 패키지 유지보수의 효율성을 높이고, OS 수준의 암호화 라이브러리와의 호환성을 강화하고자 합니다. ### 기술적 배경 및 변경 사유 * **OpenSSL 1.x 지원 중단:** 최신 버전인 `curl 8.18.0`부터 OpenSSL 1.x 환경에서의 컴파일 지원이 중단되었습니다. 이로 인해 Amazon Linux 2나 AlmaLinux 8(RHEL 8 기반)과 같이 구형 라이브러리를 사용하는 환경에서 기존 방식의 패키징을 지속하기 어려워졌습니다. * **FIPS 관리 모델의 일관성:** FIPS 패키지는 이미 배포판의 암호화 라이브러리를 링크하여 사용하고 있습니다. `curl` 또한 이와 동일한 방식으로 전환함으로써 보안 및 관리 모델의 일관성을 확보합니다. * **유지보수 및 보안 강화:** OpenSSL 3.0 이상을 사용하는 최신 배포판을 포함한 모든 FIPS 패키지에 이 변경 사항을 적용하여 전체적인 보안 관리 체계를 개선합니다. ### 적용 대상 및 일정 * **적용 시점:** 2026년 5월 21일 출시되는 GitLab 19.0 버전 및 이후의 패치 릴리스부터 적용됩니다. * **영향 범위:** 모든 Omnibus-GitLab FIPS 패키지 사용자가 대상입니다. * **사용자 조치:** GitLab 인스턴스 자체의 동작 방식은 변하지 않으므로 즉각적인 기능 설정 변경은 필요하지 않으나, 시스템 환경에 대한 점검이 권장됩니다. ### 보안 관리 책임의 변화 * **보안 업데이트 주체 변경:** 이제 GitLab은 FIPS 패키지용 `curl`의 보안 패치를 직접 배포하지 않습니다. 사용자는 운영체제(OS)에서 제공하는 업데이트를 통해 `curl`의 최신 보안 상태를 유지해야 합니다. * **취약점 스캐닝 결과:** 보안 스캐너는 더 이상 GitLab 번들 버전이 아닌, 호스트 OS에 설치된 `curl` 패키지를 기준으로 취약점을 식별하게 됩니다. FIPS 환경에서 GitLab을 운영 중인 관리자는 19.0 업데이트 이후 `curl` 관련 보안 취약점 대응이 운영체제 패키지 관리 프로세스에 포함되도록 관리 절차를 재점검해야 합니다. 특히 시스템 보안 스캔 결과가 OS 패키지 상태를 반영하게 되므로, 정기적인 OS 업데이트를 통해 최신 보안 패치를 적용할 것을 권장합니다.

GitLab AI 해커톤 2026: 수상자를 만나보세요 (새 탭에서 열림)

GitLab AI 해커톤 2026은 단순한 코드 생성을 넘어 보안, 컴플라이언스, 배포 등 소프트웨어 개발 전 과정을 자율적으로 수행하는 600개 이상의 AI 에이전트 생태계를 확인한 자리였습니다. 구글 클라우드 및 앤스로픽(Anthropic)과 협업한 이번 행사에는 약 7,000명의 개발자가 참여하여, 실질적인 워크플로우에 통합되어 팀을 대신해 행동하는 혁신적인 솔루션들을 대거 선보였습니다. 이는 AI가 챗봇 형태를 벗어나 복잡한 엔지니어링 문제를 해결하는 능동적인 에이전트로 진화했음을 입증하는 결과입니다. ### 조직 지식 보존과 시스템 이해: LORE 및 GraphDev * **대상(Grand Prize) 수상작 'LORE'**: 8개의 에이전트와 라우터를 활용해 엔지니어의 머릿속에만 있던 '암묵적 지식'을 기록하고 관리합니다. 지식 그래프의 순환 루프 방지 로직과 탄소 추적 기능을 갖췄으며, 해커톤 프로젝트임에도 43개의 테스트 코드를 포함할 정도로 완성도가 높습니다. * **Anthropic 부문 우승작 'GraphDev'**: 코드 간의 연결 고리를 매핑하여 시스템이 시간에 따라 어떻게 변하는지 보여줍니다. 코드 변경 시 미칠 영향을 사전에 시각화하여 복잡한 시스템의 진화 과정을 쉽게 파악할 수 있도록 돕습니다. * **RepoWarden**: 코드의 기능뿐만 아니라 '왜' 그렇게 작성되었는지를 캡처하는 '리빙 스펙 엔진(Living Specification Engine)' 역할을 수행합니다. ### 보안 및 컴플라이언스 자동화 * **보안 자동화 솔루션**: 구글 클라우드 부문 우승작 'Gitdefender'는 코드 리뷰 중 보안 문제를 발견하면 즉시 수정 코드를 작성하고 리뷰를 생성합니다. 'RedAgent'는 AI가 생성한 보안 보고서를 재검증하여 AI 진단 결과에 대한 신뢰 격차를 해소합니다. * **컴플라이언스 관리**: 'Compliance Sentinel'은 머지 요청(MR)의 리스크를 점검해 위반 사항이 있으면 차단하며, 'MR Compliance Auditor'는 증거 자료를 수집해 SOC 2 통제 항목과 매핑한 후 실시간 대시보드로 송출합니다. * **SecurityMonkey**: 테스트 브랜치에 알려진 취약점을 주입하여 현재 보안 스캐너가 이를 얼마나 잘 잡아내는지 점검하는 독특한 접근 방식을 선보였습니다. ### 기술적 완성도와 운영 효율화 * **안전한 마이그레이션**: 'Time-Traveler'는 운영 환경의 복제본을 생성하여 데이터베이스 마이그레이션을 선제적으로 실행해 봄으로써 배포 실패를 방지합니다. 5개의 에이전트가 브릿지로 연결되어 실제 PostgreSQL 환경에서 작동합니다. * **모바일 기반 워크플로우**: 'stregent'는 개발자가 노트북 없이도 WhatsApp을 통해 CI/CD 파이프라인을 모니터링하고 수정 사항을 머지할 수 있는 모바일 우선 경험을 제공합니다. * **문서화 에이전트 'DocSync'**: 감지(Detector), 작성(Writer), 검토(Reviewer)라는 세 단계 에이전트 체계를 통해 문서화 작업을 자동화하며, 신뢰도가 낮을 경우 사람에게 이슈를 생성해 검토를 요청합니다. ### 지속가능성을 고려한 그린 에이전트(Green Agent) * **탄소 배출 최적화**: 'GreenPipe'와 'CarbonLint' 등은 CI/CD 파이프라인과 LLM 실행에 따른 탄소 발자국을 측정하고 보고서를 생성합니다. * **운영 비용 절감**: 일부 프로젝트는 모델 최적화와 에너지 효율적인 아키텍처 설계를 통해 운영 비용을 월 $556에서 $18로 약 96% 절감하는 성과를 거두었습니다. * **실시간 최적화 팁**: 'Carbon Tracker'는 각 파이프라인 작업의 탄소 배출량을 계산하여 머지 요청 시 최적화 팁을 자동으로 댓글로 남겨줍니다. 이제 AI 에이전트는 단순한 도구를 넘어 로컬 지식 그래프와 결합하여 코드의 맥락과 역사를 이해하는 방향으로 발전하고 있습니다. 기업들은 GitLab Duo Agent Platform과 같은 환경을 통해 보안 점검, 데이터베이스 마이그레이션, 컴플라이언스 준수와 같은 고난도 수동 작업을 자동화함으로써 엔지니어링 생산성을 획기적으로 높일 수 있을 것입니다.

GitLab 패치 릴리스: 18.11.1, 18.10.4, 18.9.6 | GitLab 문서 (새 탭에서 열림)

GitLab은 2026년 4월 22일, 다수의 보안 취약점과 버그를 해결하기 위해 GitLab Community Edition(CE) 및 Enterprise Edition(EE)의 패치 버전인 18.11.1, 18.10.4, 18.9.6을 출시했습니다. 이번 업데이트는 GraphQL API의 CSRF 문제와 Web IDE 내 임의 자바스크립트 실행 등 심각도가 높은 보안 결함을 포함하여 총 10건 이상의 취약점을 해결하는 것을 핵심으로 합니다. 시스템의 안전한 운영을 위해 자체 호스팅(Self-managed) 환경을 사용하는 모든 관리자는 최신 패치 버전으로 즉시 업그레이드할 것을 강력히 권고합니다. ### 고위험 보안 취약점 해결 * **CVE-2026-4922 (GraphQL API CSRF):** GraphQL API의 CSRF 보호가 불충분하여 인증되지 않은 사용자가 인증된 사용자를 대신해 뮤테이션(Mutation)을 실행할 수 있는 문제를 해결했습니다. (CVSS 점수 8.1) * **CVE-2026-5816 (Web IDE 경로 검증 오류):** 특정 조건에서 웹 IDE 자산의 경로 검증이 부적절하게 이루어져, 인증되지 않은 사용자가 사용자의 브라우저 세션에서 임의의 자바스크립트를 실행할 수 있는 취약점을 수정했습니다. (CVSS 점수 8.0) * **CVE-2026-5262 (Storybook XSS):** Storybook 개발 환경에서 입력값 검증 미흡으로 인해 인증되지 않은 사용자가 토큰에 접근할 수 있는 교차 사이트 스크립팅(XSS) 이슈를 해결했습니다. (CVSS 점수 8.0) ### 서비스 거부(DoS) 취약점 보완 * **리소스 고갈 방지:** 토론(Discussions) 엔드포인트(CVE-2025-0186), 노트(Notes) 엔드포인트(CVE-2025-6016), GraphQL API(CVE-2025-3922)에서 리소스 할당 제한이 미흡하여 서버 자원을 고갈시킬 수 있는 DoS 문제를 수정했습니다. * **Jira 가져오기 오류(CVE-2026-1660):** 이슈를 가져오는 과정에서 부적절한 입력값 검증으로 인해 인증된 사용자가 DoS를 유발할 수 있는 취약점을 해결했습니다. ### 접근 제어 및 세션 관리 개선 * **가상 레지스트리 세션(CVE-2026-6515):** 만료되거나 잘못된 범위의 인증 정보를 사용하여 가상 레지스트리에 접근할 수 있었던 세션 만료 관련 이슈를 수정했습니다. * **비공개 정보 노출 차단(CVE-2026-5377):** 이슈 설명 렌더링 과정의 접근 제어 오류로 인해, 공개 프로젝트 내에서 비공개 이슈의 제목이 노출될 수 있는 문제를 해결했습니다. * **UI 레이어 및 API 보안:** Mermaid 샌드박스 내 입력값 검증 오류(CVE-2026-3254)와 프로젝트 포크(Fork) 관계 API의 부적절한 접근 제어 문제를 수정했습니다. 현재 GitLab.com은 이미 패치된 버전이 적용되어 있으며, GitLab Dedicated 고객은 별도의 조치가 필요하지 않습니다. 그러나 Omnibus, Helm Chart, 소스 코드 설치 등 모든 유형의 자체 호스팅 설치 환경은 이번 취약점의 영향을 받으므로, 관리자는 보안 하이진 유지를 위해 지원되는 최신 패치 버전으로 즉시 업그레이드해야 합니다. 상세한 취약점 정보는 패치 릴리스 30일 후에 GitLab 이슈 트래커를 통해 공개될 예정입니다.

GitLab + Amazon: 신뢰할 수 있는 AI 기반의 플랫폼 오케스트레이션 (새 탭에서 열림)

GitLab Duo Agent Platform과 Amazon Bedrock의 결합은 기업이 보안과 규제 준수를 유지하면서 소프트웨어 개발 생애 전반에 에이전트 기반 AI를 도입할 수 있는 강력한 토대를 제공합니다. GitLab은 워크플로우 오케스트레이션 레이어 역할을 수행하고, Bedrock은 신뢰할 수 있는 모델 추론 인프라를 담당함으로써 파편화된 AI 도구 확산을 막고 클라우드 투자의 효율성을 극대화합니다. 이를 통해 개발팀은 데이터 주권을 유지하면서도 보안 스캐닝, 파이프라인 최적화 등 복잡한 개발 작업을 지능적으로 자동화할 수 있습니다. **기존 AI 도입의 구조적 문제점** * **운영 파편화:** 개별 팀이나 개발자가 승인되지 않은 AI 도구를 제각각 사용함에 따라 엔드 투 엔드 거버넌스 수립이 불가능해지는 현상이 발생합니다. * **보안 및 데이터 주권:** 프롬프트와 코드 데이터가 외부로 유출될 위험이 있으며, 로그 소유권 및 데이터 흐름에 대한 불확실성이 존재합니다. * **클라우드 지출 최적화:** 기존 AWS 사용 약정과는 별개로 개별 AI 도구에 비용이 지출되면서 기업의 클라우드 전략 및 비용 효율성이 저하됩니다. **GitLab Duo Agent Platform: 에이전트 기반 제어 평면** * **병렬적 자동화:** 전통적인 단계별 방식에서 벗어나, 여러 전문 에이전트가 이슈, 머지 리퀘스트(MR), 보안 취약점 등 프로젝트 컨텍스트를 공유하며 동시에 작업을 수행합니다. * **통합 오케스트레이션:** 단순한 채팅 보조 도구를 넘어, GitLab의 AI Gateway를 통해 Bedrock 모델을 호출하고 소프트웨어 수명 주기 전반의 워크플로우를 지휘합니다. * **맥락 중심 협업:** 이슈 데이터와 파이프라인 결과를 실시간으로 활용하여 AI 에이전트와 개발팀 간의 유기적인 협업 환경을 구축합니다. **Amazon Bedrock: 신뢰할 수 있는 AI 인프라** * **완벽한 데이터 격리:** 서버리스 기반의 완전 관리형 서비스로, 모든 데이터는 고객의 AWS 계정 내에 머물며 모델 학습에 절대 사용되지 않습니다. * **강력한 규제 준수:** GDPR, HIPAA, FedRAMP High 등 주요 보안 인증을 획득하여 규제가 엄격한 산업군에서도 즉시 도입이 가능합니다. * **안전 장치 제공:** 'Bedrock Guardrails' 기능을 통해 콘텐츠 필터링, 환각 현상(Hallucination) 감지, 민감 정보 보호 기능을 모델 전반에 적용할 수 있습니다. **환경에 따른 세 가지 배포 옵션** * **완전 제어형:** GitLab Self-Managed 사용자가 자신의 AWS 계정에서 직접 Bedrock 모델과 AI 게이트웨이를 호스팅하여 데이터 통제권을 극대화합니다. * **관리형 서비스 연동:** GitLab Self-Managed 사용자가 GitLab에서 호스팅하는 AI 게이트웨이와 Bedrock 인프라를 활용하여 운영 부담을 줄입니다. * **SaaS 통합형:** GitLab.com(SaaS) 사용자가 GitLab 관리형 AI 인프라를 통해 별도의 설정 없이 Bedrock 기반의 AI 기능을 활용합니다. 기존에 AWS 인프라를 활용하면서 보안과 거버넌스를 중시하는 기업이라면, GitLab Duo와 Amazon Bedrock의 통합은 섀도우 AI(Shadow AI)를 방지하고 기술 스택을 단일화할 수 있는 최적의 해결책입니다. 특히 보안 취약점 자동 수정이나 파이프라인 최적화와 같이 신뢰도가 중요한 영역에서 Bedrock의 보안 가드레일을 활용하여 안전하게 AI를 확장해 나갈 것을 추천합니다.

대규모 AI 코드 리뷰 오케스트레이션 (새 탭에서 열림)

Cloudflare는 기존 AI 코드 리뷰 도구의 유연성 부족과 단순 요약 방식의 한계를 극복하기 위해 오픈소스 에이전트인 OpenCode 기반의 CI 네이티브 오케스트레이션 시스템을 구축했습니다. 이 시스템은 보안, 성능 등 각 분야에 특화된 다수의 전문 에이전트를 코디네이터가 관리하여 노이즈를 줄이고 정확도 높은 리뷰 결과를 제공합니다. 현재 수만 개의 머지 리퀘스트를 처리하며 실제 버그와 보안 취약점을 효과적으로 차단하는 등 엔지니어링 생산성을 획기적으로 개선하고 있습니다. **기존 접근 방식의 한계와 다중 에이전트 전략** * 단순히 Git Diff를 LLM에 입력하는 방식은 환각(Hallucination) 현상과 무의미한 수정 제안 등 노이즈가 많아 실질적인 코드 품질 향상에 한계가 있었음. * Cloudflare는 하나의 거대한 모델 대신 보안, 성능, 코드 품질, 문서화, 릴리스 관리, 내부 규정 준수 등 최대 7개의 전문 에이전트를 동시에 실행하는 구조를 선택함. * '코디네이터 에이전트'가 개별 에이전트의 발견 사항을 취합하여 중복을 제거하고, 문제의 실제 심각도를 판단한 뒤 하나의 구조화된 리뷰 코멘트로 통합함. **플러그인 기반의 유연한 아키텍처** * 다양한 버전 관리 시스템(VCS)과 AI 프로바이더를 지원하기 위해 `ReviewPlugin` 인터페이스 기반의 컴포저블 아키텍처를 채택함. * 리뷰 실행 주기는 세 단계로 나먐: 병렬로 실행되는 `Bootstrap`(비동기 준비), 순차적으로 실행되며 실패 시 중단되는 `Configure`(필수 설정), 그리고 원격 설정 로드 등을 처리하는 `postConfigure` 단계임. * `ConfigureContext` API를 통해 각 플러그인은 독립적으로 에이전트 등록, 프롬프트 주입, 환경 변수 설정을 수행하며, 최종적으로 `opencode.json` 설정 파일로 병합됨. * 이러한 격리 구조 덕분에 GitLab 플러그인이 AI Gateway 설정을 알 필요가 없는 등 컴포넌트 간 결합도를 최소화함. **OpenCode와 Bun을 활용한 기술적 구현** * OpenCode는 오픈소스이며 서버 중심 구조를 가지고 있어 프로그래밍 방식으로 세션을 생성하고 SDK를 통해 결과를 수집하기에 적합함. * 대규모 머지 리퀘스트 처리 시 발생하는 Linux 커널의 `ARG_MAX` 제한(E2BIG 에러)을 해결하기 위해, Bun의 `stdin` 스트림을 통해 대용량 프롬프트를 전달함. * 오케스트레이터는 OpenCode를 자식 프로세스(`Bun.spawn`)로 실행하며, 모든 출력은 JSONL 형식의 `stdout` 이벤트를 통해 실시간으로 모니터링 및 수집됨. Cloudflare의 사례는 단순한 AI 도입을 넘어, 대규모 조직의 복잡한 표준과 요구사항을 충족하기 위해 다중 에이전트와 플러그인 시스템이 왜 필요한지 잘 보여줍니다. 특히 CI/CD 파이프라인의 핵심 경로에 AI를 배치할 때 발생하는 인자 크기 제한이나 도구 간 결합도 문제를 해결한 아키텍처는 대규모 엔지니어링 팀에 실질적인 가이드라인이 될 것입니다.

GitHub Copilot의 AI 학습 정책: 거버넌스를 향한 경종 (새 탭에서 열림)

GitHub Copilot이 2026년 4월부터 사용자 데이터를 모델 학습에 기본적으로 활용하겠다고 발표함에 따라, 기업 데이터 거버넌스에 대한 경각심이 높아지고 있습니다. 이러한 정책 변화는 특히 금융, 의료, 국방 등 규제가 엄격한 산업군에서 지적 재산권 유출과 규제 준수 리스크를 초래할 수 있습니다. 이에 대응하여 GitLab은 모든 요금제에서 고객 데이터를 학습에 사용하지 않는다는 원칙을 고수하며, 투명하고 감사 가능한 AI 거버넌스의 필요성을 강조하고 있습니다. ## GitHub 정책 변경의 주요 내용과 영향 * 2026년 4월 24일부터 Copilot Free, Pro, Pro+ 사용자의 입력값(Inputs), 출력값(Outputs), 코드 스니펫 및 관련 컨텍스트가 기본적으로 AI 모델 학습에 사용됩니다. * 학습에 활용되는 데이터는 마이크로소프트(Microsoft)를 포함한 GitHub 계열사와 공유될 수 있으며, 사용자가 이를 원치 않을 경우 직접 '옵트아웃(Opt-out)' 설정을 해야 합니다. * 이러한 변화는 기업들이 현재 사용 중인 AI 도구의 라이선스 등급을 재검토하고, 내부 보안 컨트롤이 적절히 구성되어 있는지 다시 확인해야 하는 계기가 되고 있습니다. ## 규제 산업에서 AI 거버넌스가 필수적인 이유 * **지적 재산(IP) 보호**: 소스 코드는 독점 알고리즘, 사기 탐지 로직, 거래 전략 등 기업의 핵심 자산을 포함하고 있으며, AI 모델 학습에 사용될 경우 경쟁사에게 해당 로직이 노출될 위험이 있습니다. * **규제 준수 요구사항**: 금융권의 모델 리스크 관리 지침(SR 11-7)이나 유럽의 디지털 운영 탄력성법(DORA) 등은 제3자 기술 제공자가 데이터를 처리하는 방식에 대해 문서화되고 감사 가능한 감독을 요구합니다. * **공공 및 의료 보안**: 미국 국립표준기술연구소(NIST 800-53)나 의료정보보호법(HIPAA) 등의 기준을 따르는 조직에서는 데이터가 통제된 경계를 벗어나는 것 자체가 운영상의 큰 리스크가 됩니다. ## GitLab이 제안하는 AI 데이터 보호 기준 * **학습 배제 원칙**: GitLab은 요금제와 관계없이 고객 코드를 AI 학습에 절대 활용하지 않으며, 협력하는 AI 벤더(Subprocessor) 또한 고객 데이터를 자체적인 목적으로 사용하지 못하도록 계약으로 금지하고 있습니다. * **AI 투명성 센터 운영**: 어떤 모델이 어떤 기능을 구동하는지, 데이터 보유 기간은 얼마인지, 하위 프로세서와의 관계는 어떠한지 등을 한곳에서 문서화하여 제공함으로써 기업의 감사 업무를 지원합니다. * **독립성 및 중립성 확보**: 특정 클라우드 제공자나 대규모 언어 모델(LLM)에 종속되지 않는 구조를 유지하며, 벤더의 데이터 처리 방식에 중대한 변경이 생길 경우에 대비한 'AI 연속성 계획'을 수립하고 있습니다. ## 실용적인 결론 및 제안 기업의 AI 도입은 이제 선택이 아닌 필수가 되었지만, 도입 과정에서 벤더에게 다음과 같은 구체적인 질문을 던져야 합니다. "우리 데이터가 모델 학습에 사용되는가?", "데이터 정책이 변경될 경우 어떤 보장을 받을 수 있는가?", "모든 AI 처리를 자체 인프라 내에서 수행할 수 있는가?". 단 30일 전의 고지만으로 데이터 활용 정책을 바꿀 수 있는 서비스는 규제 산업군에서 파트너가 아닌 잠재적 부채가 될 수 있습니다. 따라서 계약적 확실성과 감사 가능성을 제공하는 벤더를 선택하여 컴플라이언스 리스크를 선제적으로 관리할 것을 권장합니다.

CI 전문가 및 데이터 분석가 AI 에이전트, 개발 격차 해소 겨냥 (새 탭에서 열림)

GitLab 18.11 버전에서 새롭게 출시된 'CI Expert Agent'와 'Data Analyst Agent'는 AI로 인해 급증한 코드 생산량과 이를 뒷받침하지 못하는 기존 시스템 사이의 간극을 메우는 데 집중합니다. 이 에이전트들은 GitLab Duo Agent Platform을 기반으로 개발되었으며, 외부 도구와 달리 GitLab 내부의 실제 파이프라인 데이터와 개발 주기 맥락을 실시간으로 파악하여 맞춤형 해결책을 제시합니다. 결과적으로 개발팀은 복잡한 CI 설정이나 데이터 분석에 소요되는 시간을 획기적으로 줄이고 실제 혁신과 배포에 더 집중할 수 있게 되었습니다. ### 효율적인 파이프라인 구축을 위한 CI Expert Agent (Beta) 개발자가 코드를 작성한 후 실제 실행 가능한 파이프라인을 구축하기까지 발생하는 병목 현상을 해결합니다. * **저장소 자동 분석:** 저장소 내 코드를 직접 검사하여 사용된 언어와 프레임워크, 테스트 환경을 스스로 감지합니다. * **YAML 자동 생성:** 수동으로 `.gitlab-ci.yml` 파일을 작성할 필요 없이, 해당 프로젝트에 최적화된 실행 가능한 빌드 및 테스트 구성을 즉시 제안합니다. * **대화형 가이드:** Agentic Chat을 통해 파이프라인의 각 단계가 왜 필요한지 평이한 언어로 설명해주어, CI 설정 경험이 적은 개발자도 쉽게 이해할 수 있습니다. * **맥락 기반 최적화:** GitLab 내부에서 실행되므로 과거 파이프라인의 성공 및 실패 패턴을 학습하여 팀의 작업 방식에 맞게 지속적으로 개선됩니다. ### 자연어 기반 데이터 분석을 지원하는 Data Analyst Agent (GA) 소프트웨어 개발 수명 주기(SDLC)에서 발생하는 방대한 데이터를 복잡한 쿼리 없이 자연어로 간단히 분석할 수 있게 돕습니다. * **자연어 질의 및 시각화:** "MR 리뷰에 시간이 얼마나 걸리나요?"와 같은 질문을 던지면 즉시 데이터를 분석하여 시각화된 차트와 답변을 제공합니다. * **역할별 맞춤 인사이트:** 엔지니어링 매니저는 사이클 타임을, 개발자는 플래키(Flaky) 테스트 패턴을, 플랫폼 엔지니어는 러너 활용률을 즉각적으로 파악할 수 있습니다. * **확장된 분석 범위:** 정식 출시(GA) 단계인 이번 버전에서는 MR과 이슈를 넘어 프로젝트, 파이프라인, 개별 작업(Jobs)까지 분석 범위가 대폭 확대되었습니다. * **쿼리 호환성:** 생성된 GLQL(GitLab Query Language)은 복사하여 대시보드나 마크다운 문서 등 GitLab 내 어디서든 재사용할 수 있습니다. ### 통합 플랫폼 환경에서의 실용적 가치 GitLab은 AI가 단순히 코드 작성을 돕는 수준을 넘어, 생성된 코드를 안전하게 배포하고 그 성과를 측정하는 전 과정을 가속화해야 한다고 강조합니다. CI Expert Agent와 Data Analyst Agent는 GitLab 플랫폼의 고유한 데이터를 직접 활용하므로 별도의 외부 도구 동기화가 필요 없으며, 사용할수록 팀의 특성에 맞는 정교한 어시스턴트로 진화합니다. 현재 GitLab Duo Agent Platform 무료 체험을 통해 이러한 에이전트들의 성능을 직접 경험해 볼 수 있습니다.

Claude Opus 4.7을 이제 GitLab Duo Agent 플랫폼에서 사용할 수 있습니다. (새 탭에서 열림)

GitLab Duo Agent Platform에 Anthropic의 최신 AI 모델인 Claude Opus 4.7이 공식 도입되었습니다. 이 모델은 복잡한 다단계 추론과 정밀한 지시 이행 능력이 대폭 강화되어, 소프트웨어 개발 생애주기 전반에서 에이전트의 작업 효율을 극대화합니다. 사용자는 Agentic Chat 및 다양한 에이전트 기반 워크플로우에서 이 모델을 선택하여 더욱 신뢰도 높고 예측 가능한 자동화 결과를 얻을 수 있습니다. **추론 능력 및 지시 이행의 강화** - GitLab의 내부 평가 결과, Claude Opus 4.7은 이전 모델인 Sonnet 4.6 및 Opus 4.6보다 뛰어난 성능을 보이며 복잡하고 장기적인 작업을 더 효율적으로 처리합니다. - 조건부 작업에 대한 해석이 정밀해짐에 따라, 멀티스텝 취약점 조치(remediation)와 같이 정해진 단계를 충실히 따라야 하는 작업에서 오류를 최소화합니다. - 복합적인 도구를 사용하는 워크플로우에서 발생할 수 있는 '오류 누적' 문제를 개선하여, 결과물의 예측 가능성과 감사(Audit) 가능성을 높였습니다. **개발 수명 주기 전반의 워크플로우 최적화** - **코드 및 테스트 생성:** 에이전트가 결과를 사용자에게 보여주기 전 스스로 출력을 검증(Self-verification)함으로써, 개발자의 업무 흐름을 방해하는 불필요한 반복 작업을 줄여줍니다. - **보안 및 취약점 관리:** 강화된 지시 준수 능력을 바탕으로 에이전트가 정해진 범위 내에서 조치 시퀀스를 완수하며, 중간에 경로를 이탈하거나 추가적인 수정 지시를 요구하는 빈도가 낮아졌습니다. - **CI/CD 파이프라인:** 파이프라인 실패 시 로그 분석부터 해결책 제안까지 긴 호흡의(Long-horizon) 일관성을 유지합니다. 이를 통해 에이전트가 맥락을 잃지 않고 문제를 종결지을 수 있도록 지원합니다. **도입 방법 및 가용성** - Claude Opus 4.7은 현재 GitLab Duo Agent Platform 내 모델 선택 메뉴를 통해 즉시 사용할 수 있습니다. - 무료 체험판을 통해 모델 성능을 테스트해 볼 수 있으며, 기존 GitLab Premium 또는 Ultimate 구독자는 구독에 포함된 GitLab 크레딧을 사용하여 바로 활성화가 가능합니다. - 각 모델별 구체적인 크레딧 소모량과 상세 사양은 GitLab 공식 문서에서 확인할 수 있습니다. 복잡한 보안 조치나 대규모 CI/CD 장애 대응처럼 높은 수준의 추론이 필요한 환경이라면, Claude Opus 4.7의 강화된 에이전트 워크플로우를 활용하여 팀의 생산성을 높여볼 것을 추천합니다.

GitLab 18.11: GitLab 크레딧을 위한 예산 가드레일 (새 탭에서 열림)

GitLab 18.11은 GitLab Duo Agent Platform의 온디맨드 크레딧 사용을 제어할 수 있는 '예산 가드레일(Budget Guardrails)' 기능을 도입했습니다. 조직은 구독 전체 또는 개별 사용자 단위로 지출 상한선을 설정함으로써 AI 도입에 따른 비용 불확실성을 해소하고 예산 예측 가능성을 확보할 수 있습니다. 이를 통해 기업은 갑작스러운 비용 발생 걱정 없이 AI 에이전트 활용을 전사적으로 안전하게 확장할 수 있게 되었습니다. ### 구독 수준의 지출 상한 설정 * **월간 하드 실링(Hard Ceiling) 도입**: 청구 관리자는 Customers Portal에서 전체 구독에 대한 월간 크레딧 소비 한도를 설정할 수 있습니다. * **자동 액세스 제어**: 온디맨드 사용량이 설정된 상한선에 도달하면, 다음 결제 주기가 시작될 때까지 모든 사용자의 Duo Agent Platform 액세스가 자동으로 일시 중단됩니다. * **유연한 조정**: 관리자는 월 중간에 상한선을 높이거나 기능을 비활성화하여 즉시 액세스를 복구하는 등 상황에 따라 예산을 유연하게 변경할 수 있습니다. ### 사용자별 크레딧 제한 및 차등 관리 * **공정한 자원 배분**: 특정 헤비 유저가 조직 전체의 크레딧을 독점하는 것을 방지하기 위해 사용자당 사용 한도를 설정할 수 있습니다. * **개별 맞춤형 한도 적용**: GraphQL API를 통해 모든 사용자에게 동일한 한도를 적용하거나, 더 많은 크레딧이 필요한 수석 엔지니어 등에게는 별도의 높은 한도를 부여하는 '오버라이드' 기능이 제공됩니다. * **부분적 서비스 중단**: 사용자가 개인 한도에 도달하더라도 GitLab의 일반적인 기능은 정상적으로 이용 가능하며, 오직 크레딧을 소비하는 Duo Agent Platform 활동만 제한됩니다. ### 가시성 확보 및 알림 시스템 * **실시간 알림**: 구독 상한선에 도달하면 청구 관리자에게 즉시 이메일 알림이 발송되어 예산 증액이나 크레딧 재배분 여부를 신속히 결정할 수 있게 합니다. * **관리자 모니터링**: 그룹 소유자나 인스턴스 관리자는 한도 초과로 인해 차단된 사용자를 확인하고 관리할 수 있는 권한을 가집니다. * **데이터 기반 의사결정**: 크레딧 대시보드에서 제공되는 사용자별 상세 데이터를 활용해 부서별 비용 배분(Chargeback) 정책을 수립하거나 분기별 예산 계획을 세울 수 있습니다. ### 효율적인 AI 비용 관리를 위한 제언 기존의 좌석당(Seat-based) 고정 가격 모델은 사용량과 관계없이 비용이 발생하여 비효율적일 수 있습니다. GitLab의 사용량 기반 모델과 이번에 도입된 가드레일 기능을 결합하면 실제 사용한 만큼만 비용을 지불하면서도 지출 총액을 엄격히 통제할 수 있습니다. 대규모 조직이라면 GraphQL API를 활용해 직무별로 차등화된 크레딧 할당 정책을 자동화하여 운영 효율을 극대화할 것을 추천합니다.

GitLab 18.11 릴리스 노트 | GitLab 문서 (새 탭에서 열림)

GitLab 18.11 버전부터 GitLab Duo 에이전트 플랫폼을 통한 '에이전틱 SAST 취약점 해결(Agentic SAST Vulnerability Resolution)' 기능이 정식 출시되었습니다. 이 기능은 SAST 스캔 과정에서 발견된 보안 취약점을 AI 에이전트가 자율적으로 분석하고, 코드 수정안이 포함된 머지 리퀘스트(MR)를 자동으로 생성하여 개발자의 보안 조치 속도를 획기적으로 높여줍니다. 특히 치명적(Critical) 및 높음(High) 심각도의 취약점에 대해 즉각적인 해결책을 제시함으로써 보안 부채를 효율적으로 관리할 수 있게 돕습니다. ### AI 기반의 자율적 취약점 분석 및 수정 * **문맥 중심 분석:** 단순한 패턴 매칭을 넘어, AI 에이전트가 취약점 주변의 코드 문맥을 스스로 파악하고 논리적으로 추론하여 최적의 해결책을 도출합니다. * **자동 수정 제안:** 분석 결과를 바탕으로 즉시 검토 및 반영이 가능한 머지 리퀘스트(MR)를 자동으로 생성하여 개발자의 수동 작업 부담을 줄여줍니다. * **유연한 실행 시점:** 전체 SAST 스캔 프로세스의 일부로 실행되거나, 오탐지 감지 단계 이후, 또는 특정 취약점 상세 페이지에서 사용자가 수동으로 트리거하여 실행할 수 있습니다. ### 신뢰도 높은 보안 워크플로우 제공 * **품질 평가 지표:** AI가 제안한 해결 방안에 대해 품질 평가(Quality assessments) 결과를 함께 제공하여, 리뷰어가 제안된 코드의 신뢰도를 신속하게 판단할 수 있도록 지원합니다. * **직관적인 관리:** 취약점 상세 정보 페이지에서 분석 내용을 확인하고, 제시된 해결책을 즉시 적용할 수 있는 통합된 사용자 경험을 제공합니다. * **우선순위 대응:** 보안 위협이 큰 치명적(Critical) 및 높음(High) 등급의 SAST 취약점을 우선적으로 처리하는 데 특화되어 있습니다. ### 서비스 이용 환경 및 대상 * **지원 대상:** 이 기능은 GitLab Ultimate 플랜 고객에게 제공됩니다. * **배포 환경:** GitLab.com(SaaS), Self-Managed, GitLab Dedicated 환경에서 모두 사용할 수 있습니다. 대규모 코드베이스에서 보안 취약점을 일일이 분석하고 수정하는 과정은 많은 시간과 비용이 소모됩니다. 이번에 정식 출시된 에이전틱 SAST 기능을 활용하면 보안 전문가의 개입 없이도 초동 조치가 가능해지므로, 개발팀은 보안 사고 예방 속도를 높이고 보다 고도화된 비즈니스 로직 개발에 집중할 것을 추천합니다.

GitLab 19.0의 중대 변경 사항 가이드 (새 탭에서 열림)

GitLab 19.0은 이전 메이저 업데이트 대비 파괴적 변경 사항(Breaking Changes)의 수를 대폭 줄여 안정성을 높이는 한편, 최신 보안 표준과 현대적인 인프라 기술로의 전환을 가속화합니다. 이번 릴리스는 NGINX Ingress의 대체, PostgreSQL 최소 요구 버전 상향, 보안상 취약한 인증 방식 제거 등 시스템 운영의 핵심적인 변화를 포함하고 있어 사용자들의 철저한 사전 준비가 필요합니다. 각 배포 유형에 따라 2026년 5월부터 순차적으로 적용될 예정이므로, 운영 환경의 호환성을 미리 점검하고 마이그레이션을 계획해야 합니다. ### 배포 유형별 업데이트 일정 * **GitLab.com (SaaS):** 2026년 5월 4일~6일 사이에 주요 변경 사항이 적용되며, 5월 11일~13일이 예비 기간으로 설정되었습니다. * **Self-Managed:** 2026년 5월 21일부터 공식적으로 19.0 버전을 사용할 수 있습니다. * **GitLab Dedicated:** 배포판 관리 정책에 따라 2026년 6월 22일 주간의 유지보수 창 내에 업데이트가 진행됩니다. ### 인프라 및 네트워킹 구성의 변화 * **Gateway API 및 Envoy 전환:** NGINX Ingress가 2026년 3월 종료됨에 따라, GitLab Helm 차트의 기본 네트워킹 구성이 Envoy Gateway 기반의 Gateway API로 변경됩니다. 기존 NGINX 사용자는 20.0 버전 전까지 수동으로 활성화하여 유지할 수 있으나 조속한 마이그레이션이 권장됩니다. * **내장형 컴포넌트 제거:** 테스트 및 PoC 용도로 제공되던 Helm 차트 내 번들 PostgreSQL, Redis, MinIO가 라이선스 및 유지보수 이슈로 인해 완전히 제거됩니다. 해당 서비스를 사용하는 환경은 반드시 외부 서비스로 전환해야 합니다. * **OS 지원 종료:** Ubuntu 20.04의 표준 지원 종료에 맞춰 해당 OS용 리눅스 패키지 제공이 중단됩니다. 19.0 업그레이드 전 Ubuntu 22.04 이상의 지원 버전으로 OS를 교체해야 합니다. ### 데이터베이스 및 미들웨어 요구사항 강화 * **PostgreSQL 17 필수화:** PostgreSQL 16 지원이 중단되고 17 버전이 최소 요구 사항이 됩니다. 리눅스 패키지 사용자는 18.11 버전에서 자동 업그레이드가 시도될 수 있으며, 클러스터 사용자는 수동 업그레이드가 필수입니다. * **Redis 및 Valkey 지원:** Redis 6 지원이 종료됩니다. 외부 Redis 운영 환경은 Redis 7.2 또는 새롭게 지원되는 Valkey 7.2로 마이그레이션해야 합니다. (AWS, GCP 등 클라우드 매니지드 서비스 포함) ### 보안 및 빌드 환경 업데이트 * **ROPC OAuth 흐름 제거:** 보안상 결함이 있는 리소스 소유자 비밀번호 자격 증명(ROPC) 방식이 OAuth 2.1 표준에 따라 완전히 제거됩니다. 이를 사용하는 앱이나 통합 서비스는 Authorization Code flow 등 보안이 강화된 방식으로 수정해야 합니다. * **Auto DevOps 빌더 업데이트:** 클라우드 네이티브 빌드팩(CNB) 이미지가 heroku/builder:22에서 24 버전으로 업데이트됩니다. 이를 통해 최신 런타임 환경을 지원하며 관련 파이프라인의 빌드 방식이 변경될 수 있습니다. 성공적인 GitLab 19.0 전환을 위해 Self-Managed 운영자는 18.x 버전대에서 제공되는 PostgreSQL 17 마이그레이션 도구를 미리 활용하고, Helm 차트 사용자는 Gateway API로의 네트워크 인프라 전환 계획을 우선적으로 수립할 것을 권장합니다.