DevSecOps: Интеграция безопасности продукта на каждом этапе SDLC
Что такое GitLab Duo Agent Platform, и почему вам стоит изменить подход к SDLC?
- Основная архитектура: Два формата работы
- Интерактивный уровень: GitLab Duo Agentic Chat
- Уровень автоматизации CI/CD: Оркестрация потоков
- Центральный хаб: AI Catalog и панель Automate
- Долой изоляцию: Model Context Protocol (MCP)
- Глубокая кастомизация: Адаптация платформы под вашу команду
- Почему это важно именно сейчас: Бизнес-кейс
- Частые вопросы (FAQ)

В течение последних нескольких лет ИИ в разработке программного обеспечения ассоциировался с одним: автозаполнением кода. Это было полезно, но ограничено. Инструмент следил за тем, что вы печатаете, и угадывал продолжение. Помогало? Несомненно. Но ИИ оставался лишь наблюдателем.
GitLab Duo Agent Platform меняет правила игры. Она превращает ИИ из ассистента в активного участника. Это агентный ИИ, где автономные агенты способны анализировать проблемы, планировать следующие шаги и выполнять реальную работу на всех этапах жизненного цикла разработки ПО.
Они не просто отвечают на вопросы — они помогают делом. Агент может самостоятельно разобраться с инцидентами безопасности, очистить legacy-код или реализовать многоэтапное развертывание. Благодаря автоматизации CI/CD он работает в фоновом режиме и поддерживает непрерывность процессов.
Как партнер GitLab уровней Select и Professional Services, Cloudfresh делятся всем, что стоит знать о GitLab Duo Agent Platform.

Основная архитектура: Два формата работы
Чтобы получить максимум от платформы, важно понимать два ее режима: Агенты (Agents) и Потоки (Flows). У них общая база ИИ, но они выполняют совершенно разные роли в ежедневной разработке.
Агенты созданы для живого взаимодействия. Вы общаетесь с ними напрямую в GitLab Duo Agentic Chat. Это мгновенный и интерактивный обмен мнениями. Такой формат идеально подходит для отладки, проектирования архитектуры системы или попытки разобраться в запутанном фрагменте кода.
Потоки ориентированы на выполнение. GitLab Duo Workflow — это набор шагов, которые выполняются на вычислительных мощностях GitLab без необходимости постоянного вмешательства человека. Он не ждет сообщения в чате, а реагирует на события.
Поток может запуститься, когда кто-то использует определенное ключевое слово в запросе на слияние или когда на задачу назначат ревьюера. После запуска он принимается за работу: анализирует требования, обновляет файлы, запускает тесты и даже создает мердж-реквесты. Все это происходит автономно.
Вместе Агенты и Потоки превращают ИИ в настоящего коллегу — того, с кем можно посоветоваться, когда нужна помощь, и на кого можно полностью переложить задачу, когда вы заняты другим.
Интерактивный уровень: GitLab Duo Agentic Chat
Большинство рабочих задач на платформе начинаются именно в GitLab Duo Agentic Chat. Он доступен как постоянная панель в веб-интерфейсе GitLab и в популярных IDE, таких как VS Code, JetBrains и Visual Studio. Это не просто окно чата: он помнит историю переписки и понимает структуру проекта, над которым вы работаете.
Благодаря знанию контекста чат становится центром управления. Вы можете продолжить с того места, где остановились, ссылаться на существующий код и сразу переходить к решению проблем без лишних объяснений.
Одна из самых полезных функций — выбор модели. Разные языковые модели лучше справляются с разными задачами, и GitLab позволяет переключаться между ними. Вы можете выбрать модель с мощным логическим мышлением для планирования архитектуры, а затем перейти на более быструю — для написания или проверки больших объемов кода.
Команды сами решают, как это будет работать: администраторы могут закрепить конкретную модель на уровне группы или позволить каждому разработчику выбирать вариант под свой воркфлоу.
В чате вы взаимодействуете с Базовыми агентами (Foundational Agents). Это встроенные роли ИИ, которые поддерживает сам GitLab; каждая из них сосредоточена на определенной части процесса разработки:
- GitLab Duo (по умолчанию) — универсальный партнер по кодингу. Объясняет код, помогает с дебагом и рефакторингом.
- Planner Agent фокусируется на планировании продукта. Он может разбивать большие эпики на четкие пользовательские истории и задачи, а также оценивать их сложность.
- Security Analyst Agent сосредоточен на уязвимостях. Он помогает отфильтровать реальные риски от «шума», ранжирует проблемы по степени влияния и даже создает запросы на слияние для их устранения.
- Data Analyst Agent упрощает доступ к данным платформы. Вы задаете вопросы на обычном языке (например, сколько запросов на слияние открыли в прошлом квартале), а он превращает их в точные запросы на языке GitLab Query Language.

Уровень автоматизации CI/CD: Оркестрация потоков
Агенты отвечают за обсуждение, а Потоки — за выполнение, или, другими словами, за многоагентную оркестрацию.
Платформа поддерживает два типа воркфлоу: Базовые потоки (Foundational Flows) и Кастомные потоки (Custom Flows).
Базовые потоки готовы к использованию в автоматизации CI/CD «из коробки». Примером является поток Fix CI/CD Pipeline. Если джоб падает, разработчик может запустить его прямо из логов. Поток проанализирует ошибку, найдет причину и предложит исправление.
Другой пример — Convert Jenkins to GitLab CI/CD. Этот поток берет существующий Jenkinsfile и превращает его в пайплайн GitLab. Те, что раньше было кропотливой ручной миграцией, теперь делается в один клик.
Кастомные потоки идут еще дальше. Команды могут создавать собственные GitLab Duo Workflows с помощью YAML-файлов. Это позволяет проектировать многоэтапные процессы, точно соответствующие внутренним стандартам вашей команды.
Кастомный поток состоит из трех элементов:
- Компоненты определяют автономных агентов или шаги процесса.
- Роутеры решают, что делать дальше.
- Промпты управляют поведением каждого агента.
Представьте, что ваша команда настроила Compliance Flow. Он запускается автоматически при открытии запроса на слияние. Сначала код попадает к Security Agent для проверки на наличие конфиденциальных данных. Если все хорошо, поток передает изменения Documentation Agent, чтобы подтвердить обновление README в соответствии с изменениями в API.
В конце Summary Agent собирает результаты и публикует отчет непосредственно в запросе на слияние. Никому не нужно управлять процессом вручную — поток работает в фоне согласно вашей YAML-конфигурации.

Центральный хаб: AI Catalog и панель Automate
Поскольку команды создают все больше автономных агентов и потоков, важно поддерживать порядок в этой многоагентной системе. Для этого существует AI Catalog — общее пространство для всего, что создает ваша команда. Это внутренняя библиотека, где разработчики могут находить, создавать и повторно использовать ИИ-инструменты.
Каталог разработан с акцентом на сотрудничество. Создавая нового агента, автор выбирает уровень доступа. Приватный агент остается в пределах проекта — идеально для тестов и экспериментов. Готовый инструмент можно сделать публичным, чтобы он стал доступным для всей организации.
Надежность обеспечивается через семантическое версионирование. Каждый раз, когда агент или поток обновляется, GitLab присваивает ему новый номер версии (например, переход от 1.0.0 к 1.1.0). Версии фиксируются: если проект использует версию 1.0.0, он будет работать на ней, даже если выйдет 2.0.0.
Вместе с каталогом работает дашборд Automate — центр управления всеми активными процессами. Он разделена на четыре секции: Агенты, Потоки, Триггеры и Сессии.
Триггеры — чрезвычайно мощный инструмент. Они позволяют связывать события с действиями. GitLab Duo Workflow может запуститься, когда кто-то упомянет бота в комментарии (например, @refactor-bot). После активации триггера все остальное происходит автоматически.
Для аудита и поиска неисправностей есть вкладка Sessions, которая обеспечивает полную прозрачность. Каждое взаимодействие с агентом и каждый запуск потока создают детальный лог. Вы видите финальный результат, ход мыслей ИИ, использованные инструменты и «сырые» выходные данные.

Долой изоляцию: Model Context Protocol (MCP)
Традиционные ИИ-инструменты часто видят «узко» — только то, что находится непосредственно перед ними. GitLab Duo Agent Platform устраняет это ограничение с помощью протокола Model Context Protocol (MCP).
Если коротко, MCP — это открытый стандарт, который позволяет ИИ-моделям безопасно подключаться к внешним системам. GitLab поддерживает его в обоих направлениях: и как клиент, и как сервер.
Когда GitLab выступает как MCP-клиент, агенты Duo могут выходить за пределы репозитория. Команды могут подключать MCP-серверы к таким средам, как Jira, Slack или Google Cloud Platform, еще больше расширяя возможности оркестрации.
Когда GitLab работает как MCP-сервер, процесс идет в обратном направлении: внешние ИИ-инструменты получают прямой доступ к данным GitLab. Если разработчик предпочитает редакторы на базе ИИ, такие как Cursor или Claude Desktop, он может подключить их к MCP-серверу GitLab.
Имея соответствующие разрешения, эти инструменты могут читать задачи, проверять диффы в запросах на слияние и статус пайплайнов. Разработчики получают полный доступ к контексту своего SDLC независимо от того, какой редактор или ассистент они выбрали.

Глубокая кастомизация: Адаптация платформы под вашу команду
Что действительно выделяет эту платформу, так это возможности ее настройки. GitLab разработали платформу гибкой, чтобы поведение ИИ отражало реальные рабочие процессы вашей организации.
Фундаментом являются системные промпты. Они определяют, как кастомный агент мыслит, отвечает и ведет себя. Промпт — это, по сути, «мировоззрение» агента.
Для соблюдения общих стандартов платформа поддерживает файл chat-rules.md. Он может находиться на уровне пользователя или рабочего пространства. Здесь задаются общие предпочтения и ограничения: например, использовать TypeScript в примерах, отдавать предпочтение функциональным паттернам или отвечать лаконично.
Это помогает ИИ соответствовать тону, стилю и ожиданиям конкретной команды или даже отдельного разработчика.
Стандартизация идет еще дальше с файлом AGENTS.md. Он соответствует общеотраслевому формату и гарантирует, что все автономные агенты и потоки, взаимодействующие с репозиторием (даже сторонние), придерживаются установленных правил. Он охватывает все: от архитектурных гайдлайнов до требований безопасности (например, никогда не предлагать захардкоженные секреты).
Поскольку AGENTS.md базируется на открытом стандарте, любой совместимый ИИ-инструмент будет следовать тем же инструкциям. Это обеспечивает предсказуемое поведение независимо от того, какой ассистент используется.
Для команд, которые хотят точного контроля над автоматизированными ревью, существует mr-review-instructions.yaml. Этот файл позволяет тонко настроить поведение Базового потока для ревью кода. Используя шаблоны glob, команды могут применять разные проверки к разным типам файлов.
Файлы Ruby могут запускать проверку покрытия RSpec, а компоненты Vue — проверку доступности. Каждое ревью фокусируется именно на том коде, который был изменен.
Почему это важно именно сейчас: Бизнес-кейс
Переход от базовых ИИ-помощников к многоагентной оркестрации дает реальные преимущества:
- От быстрого набора текста до быстрого релиза. Традиционные ассистенты ждут ввода данных. Duo Agents — нет. Разработчик может запустить воркфлоу для рефакторинга устаревшего кода или генерации отчета, а сам перейти к другим задачам.
- Устранение изоляции знаний с помощью MCP. С MCP агент может мгновенно связать лог ошибки с соответствующим тикетом и обсуждением в чате, не выходя из IDE.
- Встроенный контроль и комплаенс. Файлы типа
AGENTS.mdпрямо указывают ИИ на существующие стандарты. Вместо того, чтобы надеяться, что ревьюеры заметят проблему, автономные агенты по умолчанию следуют вашим архитектурным требованиям и правилам безопасности. - Уменьшение рутины и технического долга. Базовые потоки автоматизируют миграцию пайплайнов и разбор результатов безопасности, давая командам пространство для фокуса на новых функциях.
Если хотите узнать, как это может работать в вашей компании вместе с Cloudfresh — сертифицированным провайдером услуг по внедрению GitLab — заполните короткую форму ниже.
Частые вопросы (FAQ)











