# GitLabとDevSecOpsの進化：エージェント時代のコンテキスト・ガバナンス・エアギャップ

- 番組: [Software Engineering Daily](https://ai-curator.jp/podcasts/shows/cmv3z5c1c000w5o10bjjhgahi)（Software Engineering Daily）
- 元のタイトル: GitLab and the Evolution of DevSecOps
- 配信日: 2026年11月10日
- 長さ: 56分
- 要約作成日: 2026年11月10日
- トピック: [#GitLab](https://ai-curator.jp/topics/GitLab) [#DevSecOps](https://ai-curator.jp/topics/DevSecOps) [#AIエージェント](https://ai-curator.jp/topics/AI%E3%82%A8%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%B3%E3%83%88) [#ナレッジグラフ](https://ai-curator.jp/topics/%E3%83%8A%E3%83%AC%E3%83%83%E3%82%B8%E3%82%B0%E3%83%A9%E3%83%95) [#MCP](https://ai-curator.jp/topics/MCP) [#ガバナンス](https://ai-curator.jp/topics/%E3%82%AC%E3%83%90%E3%83%8A%E3%83%B3%E3%82%B9)
- URL: https://ai-curator.jp/podcasts/cmwalgtcm00015n10rgljr3kw

## 要約

GitLabのVP of EngineeringであるTim Zallmannが、AIをSDLC全体に組み込む同社の取り組みを語った回。Duo Agent Platformやナレッジグラフ「Orbit」、エージェントの複合アイデンティティによる監査、エアギャップ環境向けのセルフマネージド提供の現実、Cursorなど新規参入者との競争について述べている。企業統制下でエージェントを動かす意義が一貫したテーマである。

## ポイント

- GitLabはAIを単発のツールではなくSDLC全体に組み込む方針で、Duo Agent Platformではエージェントと決定論的ステップを組み合わせたカスタムフローを構築できると説明した。
- Orbitはイシュー、MR、CI、コードなどの関係をつなぐナレッジグラフで、エージェントがクエリを自在に書き、数万リポジトリから特定の依存関係を数秒で探せるとしている。
- エージェントのサービスアカウントに、タスクを開始したユーザーを紐づける「複合アイデンティティ」で、後から誰の指示で何が行われたか追跡できる。
- LLMループをサーバー側で実行し、全セッションのメッセージ・ツール呼び出し・承認を記録することで、ガバナンスと監査を担保するという。
- エアギャップ運用では、顧客が数年前のバージョンを使い続ける前提で、破壊的変更の抑制や多様な環境でのテストが欠かせないと述べた。
- Cursorのコードホスティング参入には競合かつ補完関係とみており、AI領域の変化の速さに合わせて組織をフラット化したという。

## 章立て

- [02:09] **Zallmann氏の経歴とGitLab入社** — POSシステムの開発から起業、ブラウザゲーム、銀行のオンラインバンキング刷新を経て、リモート企業のGitLabに入社するまでを語る。
- [07:27] **GitLabとは：セルフマネージドとオープンコア** — ソフトウェア開発の全工程を担うプラットフォームであり、オンプレミスやエアギャップ運用、オープンコアの利点を説明する。
- [12:20] **文脈とガバナンスがGitLabの強み** — コード以外のイシュー、テスト、デプロイ、可観測性データまで文脈として提供し、細かな権限制御と監査を重視すると述べる。
- [17:54] **Duo Agent Platformとカスタムフロー** — エージェントと決定論的ステップを組み合わせたフローや、バグの自動再現・修正と動画付きMRの例、モデル非依存の設計を紹介する。
- [24:30] **Orbit：SDLC全体のナレッジグラフ** — 全リポジトリ横断で関係を索引し、エージェントがクエリで探索できる仕組みを、RAGとの違いやMCP公開とともに説明する。
- [33:00] **AIゲートウェイと自前モデル** — マルチテナントのAIゲートウェイと、セルフマネージドや専用環境（Dedicated）で自前モデルを接続できる構成を語る。
- [36:53] **エージェントのアイデンティティと監査** — 複合アイデンティティ、ツール・スキルの制限、サーバー側実行とセッション記録による追跡可能性を解説する。
- [42:20] **エアギャップの現実と今後の競争** — 古いバージョンを使う顧客への配慮や業界の例、Cursorの参入への見方、組織変更と締めの案内を述べる。

## 解説記事

GitLabでVP of Engineeringを務めるTim Zallmannが、Gregor Vandとの対談でAI時代のGitLabの戦略を語った。テーマは、コードだけでなくソフトウェア開発ライフサイクル（SDLC）全体の文脈をエージェントに与えつつ、企業の統制下で動かすことである。

#### 文脈を一箇所に集める発想

Zallmann氏はGitLabを、アイデア出しから開発、デプロイ、運用、保守までをカバーする「ソフトウェアを作るためのプラットフォーム」と説明する。主な顧客は大企業で、セルフマネージド（自社でインストールして運用する形態）を強みとし、完全に外部接続のないエアギャップ環境で使う顧客もいるという。

同氏によれば、AI活用でも「このエージェントにコードを書かせる」という単発の使い方にとどまらず、全工程にAIを行き渡らせることが狙いだ。ローカルでCLIを動かすだけではコードしか見えないが、GitLabならイシューや議論、エピック、テスト結果、ビルド、デプロイ先、可観測性データまで参照させられる点を価値として挙げている。

#### Duo Agent PlatformとOrbit

Duo Agent Platformでは、プロジェクト作成やイシューの状態変化、パイプライン失敗などをトリガーにエージェントを起動できる。エージェントと、lintやテストのような決定論的ステップを組み合わせた「カスタムフロー」も作れる。決定論的な部分は結果が二値で明確で、エージェントに探らせるより安価になることが多いと述べている。モデル非依存で、顧客が自前でホストするモデルにも接続できる。

社内の例として、バグ報告が届くとトリアージ用のボットが情報を集め、仮想マシン上で再現して動画を残し、修正案のMRまで作る流れが紹介された。エンジニアは朝に動画付きのMRを確認して承認するだけという、「ノータッチ」に近い運用を目指している。

ベータ段階のOrbitは、SDLC全体のナレッジグラフ（要素間の関係をグラフとして保持する仕組み）だ。エピックから子アイテム、MR、差分、変更された関数までの関係を索引化し、エージェントはスキーマを取得してCypherクエリを自在に書ける。データはClickHouseに格納される。ユーザーが見られる範囲の権限をそのまま引き継ぐという。

同氏はRAGとの違いを、ファイル検索を繰り返す総当たりではなく「地図を渡す」ことだと説明する。5万リポジトリを持つ顧客で、特定バージョンの依存関係を使う箇所を数秒で見つけるといった、単一リポジトリでは難しい用途を例に挙げた。OrbitはMCP経由でClaude CodeやCodexからも使える。

#### アイデンティティと監査

企業にとって重要なのが、エージェントの行動の責任の所在だ。GitLabは、エージェント用のサービスアカウントに、タスクを開始したユーザーを紐づける「複合アイデンティティ」を採用している。これにより、自律実行された変更でも、どのユーザーが起点かを後から追える。

さらに、使えるツールやMCPサーバー、スキルを管理者が制限でき、スキルには改ざん防止の署名もあるという。LLMの実行ループをサーバー側で動かす設計のため、CLI、IDE、Web、自律フローのいずれでもセッションが記録され、メッセージ、ツール呼び出し、承認が数か月後でも追跡できると述べている。

#### エアギャップ運用の現実と競争環境

エアギャップ対応は、セルフマネージドを重視してきた結果として自然に生じたものだと同氏は語る。現在も収益の多くをセルフマネージドが占める。顧客が年単位で古いバージョンを使い続けることもあるため、破壊的変更は年1回のメジャーバージョンに限り、事前告知も行う。外部からのダウンロードを前提にした実装が数か月後に顧客環境で問題を起こしうることなど、クラウドサービスとは異なる品質上の注意点も挙げた。業界としては政府、自動車、金融などが典型だという。

Cursorがコードホスティングに参入する動きについては、競合であると同時に補完的でもあり、連携も進めていると述べた。変化の速さに対応するため、自身の組織を1年半前にフラット化したことも明かしている。

#### まとめ

この回の要点は、エージェントの価値は文脈の広さと統制の強さで決まるというGitLabの賭けにある。日本の大企業でも、データ主権や監査、オンプレミス要件は切実だ。エージェント単体の性能だけでなく、権限、追跡、モデル選択の自由度をどう設計するかを考える材料になる。なお内容はZallmann氏の自社に関する説明であり、Orbitの優位性なども同氏の見解である点には注意したい。

> この要約・解説記事は、元の音声の文字起こしをもとに AI（Claude）が日本語で作成したものです。出典: Software Engineering Daily「GitLab and the Evolution of DevSecOps」