GitLab 19.2 릴리즈 노트

GitLab 19.2가 2026년 7월 16일에 출시되었습니다. 이번 릴리즈는 GitLab Duo Agent Platform의 본격 GA에 초점이 맞춰져 있습니다. 터미널에서 에이전트를 구동하는 GitLab Duo CLI, 팀 맞춤형 자동화를 위한 커스텀 플로, 보안 정책 기반의 예약형 파이프라인 실행 정책이 모두 GA되었고, 오랫동안 기다려온 세분화된 개인 액세스 토큰(PAT) 권한도 GA에 도달했습니다. 여기에 의존성 스캐닝 자동 교정(베타), Security Review Flow(베타), AI 감사 이벤트 리포트(베타) 등 보안·거버넌스 기능이 대거 추가되어, AI가 취약점을 발견하는 데 그치지 않고 직접 수정하고 Merge request(MR)까지 여는 완결형 워크플로가 현실화되었습니다. 총 28개의 주요 업데이트를 소개합니다.

본 내용은 GitLab의 릴리즈 노트를 번역 및 재편집한 내용이며 원문은 GitLab 19.2 Release에서 확인할 수 있습니다.

주요 기능

1. GitLab Duo CLI GA

GitLab Duo CLI가 GA되어 GitLab Duo Agent Platform을 터미널에서 직접 사용할 수 있습니다. 외부 도구와 달리 CLI는 여러분의 GitLab 프로젝트, 파이프라인, 에이전트 구성에 대한 컨텍스트를 이미 갖고 있어, 코드베이스에 대한 복잡한 질문에 답하고 작업을 자율적으로 수행합니다. 주요 기능은 다음과 같습니다.

• 두 가지 모드: 대화형 채팅 모드와 CI/CD용 헤드리스(headless) 모드
• 관리자 on/off 제어: GitLab Self-Managed 및 GitLab Dedicated에서 관리자가 활성화 여부 제어
• 모델 선택 및 세션 공유, 도구 승인(Tool approvals)
• Model Context Protocol(MCP) 연결과 슬래시 명령(컨텍스트 사용량·컨텍스트 컴팩션 명령 포함)
• 스킬 및 AGENTS.md 커스터마이징 파일 지원
• GitLab CLI(glab) 또는 독립 도구로 설치 가능

2. GitLab Duo 커스텀 플로 GA

커스텀 플로(Custom Flows)는 GitLab 프로젝트 전반의 복잡한 다단계 작업을 자동화하도록 직접 만들고 구성하는 AI 워크플로입니다. 팀이 워크플로 단계·구성요소·트리거를 정의하면 반복적인 개발·운영 업무가 GitLab 이벤트에 반응해 자동으로 실행됩니다. GitLab UI에서 플로는 GitLab CI/CD 위에서 실행되어 GitLab을 벗어나지 않고 작업을 자동화합니다. 주요 기능은 다음과 같습니다.

• YAML로 정의하는 재사용 가능한 팀 맞춤 워크플로와 복잡한 다단계 작업을 위한 멀티 에이전트 오케스트레이션
• 민감한 단계에서 승인·피드백을 받는 사용자 정의 HITL(사람 개입) 체크포인트
• 멘션, 할당, 파이프라인 이벤트, Merge request 라이프사이클 등 네이티브 GitLab 트리거
• 프로젝트 또는 AI Catalog에서의 생성·관리, 공개/비공개 가시성 제어
• 서비스 계정과 복합 ID(composite identity) 기반의 보안 실행, 런타임 전 오류를 잡는 YAML 검증

3. 예약형 파이프라인 실행 정책 GA

예약형 파이프라인 실행 정책(Scheduled pipeline execution policies)이 GA되었습니다. 보안 정책 프로젝트에서 스케줄을 한 번만 정의하면 범위 내 모든 프로젝트에 강제 적용되며, 각 프로젝트의 .gitlab-ci.yml을 개별 수정할 필요가 없습니다. 요구사항이 바뀌면 여러 CI/CD 설정 파일을 조율하는 대신 정책 한 곳만 수정하면 됩니다. 컴플라이언스 스크립트, 보안 스캔, 커스텀 CI/CD 작업을 커밋 활동과 무관하게 일·주·월 단위로 실행할 수 있어, 코드 변경이 드문 리포지터리에서 신규 취약점 탐지를 위한 정기 의존성 스캔 등에 유용합니다. 각 정책은 별도 파이프라인으로 실행되며 타임존, 시간대 분산(time window distribution), 브랜치 타깃팅을 지원합니다.

4. Agentic Chat에서 파운데이셔널 플로 시작

이전 버전에서는 파운데이셔널 플로(Foundational Flows)를 특정 UI 액션, 멘션, 할당을 통해서만 시작할 수 있었습니다. 이제 GitLab UI의 Agentic Chat 대화 중에 플로를 시작할 수 있습니다. 요청이 특정 전문 워크플로와 매칭되면 Agentic Chat이 다음 플로로 인계합니다. Developer Flow(변경 구현 또는 Merge request 생성), Code Review Flow(Merge request 리뷰), Fix CI/CD Pipeline Flow(실패한 파이프라인 진단·복구). 채팅에서 인계를 승인한 뒤 대화 또는 AI > Sessions에서 진행 상황을 확인할 수 있습니다.

5. 의존성 스캐닝 자동 교정 (베타)

GitLab 19.2는 의존성 스캐닝 자동 교정(Dependency scanning auto-remediation)을 베타로 도입합니다. 자동화된 취약점 교정을 의존성 스캐닝 워크플로에 직접 통합하며, 두 가지 역량으로 구성됩니다.

• 자동 의존성 버전 업: 취약한 의존성을 안전한 버전으로 올리는 Merge request를 자동 생성합니다. 활성화하면 GitLab이 프로젝트를 모니터링해 수동 개입 없이 교정 MR을 엽니다(기본은 patch·minor 버전 대상).
• Agentic Breaking Change Resolution: 버전 업 MR의 파이프라인이 호환성 파괴(breaking change)로 실패하면, GitLab Duo가 파이프라인 오류, 의존성 체인지로그, 코드의 사용 방식을 분석해 같은 MR에 수정을 커밋하고 파이프라인이 통과할 때까지 재실행합니다(major 버전까지 확장, GitLab Credits 소모).

두 역량이 결합해 GitLab이 MR을 열고, 복잡한 경우 GitLab Duo가 해결하는 완결형 교정 루프를 형성합니다.

6. 비(非)기본 브랜치 취약점 추적 (베타)

이제 기본 브랜치(default branch) 외의 브랜치에서도 취약점을 추적할 수 있습니다. 최상의 결과를 위해서는 특정 환경(project-qa, project-prod)이나 배포 플랫폼(project-iOS, project-android)용 장수명 릴리즈 브랜치 소수를 대상으로 지정하는 것이 좋습니다. 이번 베타는 다음 기능을 포함합니다. 보안 구성 페이지에서 추적 브랜치 추가(네임스페이스 내 프로젝트 수의 최대 2배), 취약점 리포트 및 프로젝트 수준 보안 대시보드에서 브랜치 필터링, 기존에 범위 밖이던 CVE를 포함한 모든 취약점 유형 추적, 브랜치가 기본 브랜치로 병합될 때 취약점 상태 메타데이터 일관성 유지, 추적 브랜치의 취약점 상태 업데이트.

7. 하위 그룹별 선택적 GitLab Duo 제공

GitLab Dedicated 인스턴스 관리자가 일부 하위 그룹에 대해서는 GitLab Duo와 Agent Platform을 사용 불가로 두면서, 다른 하위 그룹은 활성화 옵션을 유지하도록 설정할 수 있습니다. 이전에는 인스턴스 전체에서 비활성화하거나 전체에 잠재적으로 제공하는 두 가지 선택뿐이었습니다. 이제 기본 거부(default-deny)에 하위 그룹별 허용목록을 적용할 수 있습니다. 특정 하위 그룹을 Always off(잠금)로 지정하면 그 하위 그룹·프로젝트는 Duo와 Agent Platform을 절대 활성화할 수 없고, 다른 하위 그룹은 Owner 재량에 맡깁니다. 잠금은 관리자만 적용·해제할 수 있으며, 영향을 받는 Owner에게는 상위 그룹에 의해 잠겼다는 안내가 표시됩니다. 엄격한 데이터 분류 요건을 충족해야 하는 컴플라이언스·플랫폼 거버넌스 팀에 유용합니다.

8. AI 감사 이벤트 리포트 (베타)

AI 감사 이벤트 리포트(AI audit event reports)가 베타로 제공되어, 보안·컴플라이언스 팀에 GitLab Duo 에이전트 활동에 대한 통합·다운로드 가능한 기록을 제공합니다. 이전에는 에이전트 활동이 파이프라인 작업과 이벤트 이력에 흩어져 있어 사고 조사, 컴플라이언스 검토, AI 거버넌스 보고를 위해 세션을 재구성하기 어려웠습니다. 이제 각 에이전트 세션이 입력, 모델·구성 컨텍스트, 시간순 이벤트 타임라인, 출력을 포괄하는 감사 아티팩트를 생성합니다. Governance 페이지에서 AI 감사 이벤트를 조회하고 에이전트·세션 정보로 필터링하며 개별 이벤트로 드릴다운하고 기반 세션 아티팩트를 다운로드할 수 있습니다.

9. Security Review Flow (베타)

Security Review Flow는 비즈니스 로직 취약점을 Merge request에서 직접 탐지합니다. 알려진 패턴을 스캔하는 정적 분석 도구와 달리, 코드의 의도(intent)를 추론해 패턴 기반 스캐너가 흔히 놓치는 인가 우회, 데이터 노출, 로직 오류를 식별합니다. 리뷰를 요청하려면 Merge request에 Duo Security Review 서비스 계정을 리뷰어로 지정하면 됩니다. 이 플로는 diff를 분석해 취약점이 발생한 정확한 라인에 스레드 댓글로 결과를 게시하며, 각 결과에는 CWE(Common Weakness Enumeration) 분류, 심각도 등급, 가능한 경우 Merge request를 벗어나지 않고 적용할 수 있는 인라인 수정 제안이 포함됩니다. 각 리뷰는 Merge request diff의 복잡도에 따라 GitLab Credits를 소모합니다.

Agentic Core

1. AI Catalog 항목 일괄 활성화

AI Catalog에서 공개 커스텀·외부 에이전트 및 공개 커스텀 플로를 활성화할 때, 이제 프로젝트를 하나씩 선택하는 대신 한 번의 동작으로 최대 100개 프로젝트를 선택할 수 있습니다.

2. 플로에서 ID 토큰 구성

장기 크리덴셜을 저장하지 않고 서드 파티 OpenID Connect(OIDC) 서비스와 인증하도록 ID 토큰을 사용할 수 있습니다. 예를 들어 바이너리·커밋의 keyless 서명이나 시크릿 매니저에서의 시크릿 조회에 활용합니다. 이 기능을 사용하려면 에이전트 구성에 id_tokens 키워드를 추가한 뒤, GitLab Duo Agent Platform이 발급한 토큰을 신뢰하도록 대상 서비스를 구성하면 됩니다.

3. 커스텀 에이전트 검증

이전에는 실행 시 실패하는 프롬프트를 가진 커스텀 에이전트도 AI Catalog에 저장할 수 있었습니다. 예를 들어 보안 규칙에 걸리는 프롬프트는 사용 시 에이전트가 아무 동작 없이 조용히 실패했습니다. 이제 커스텀 에이전트를 생성·수정할 때 GitLab이 프롬프트 구성을 검증해 저장 전에 오류를 알려줍니다.

4. 병합 전 자동 리베이스

이전 버전에서는 프로젝트가 semi-linear 또는 fast-forward 병합 방식을 사용할 때 소스 브랜치가 타깃 브랜치보다 뒤처지면 추가 단계를 거쳐야 했습니다. 병합하려면 Rebase를 선택하고 완료를 기다린 뒤 다시 Merge request로 돌아와 Merge를 눌러야 했습니다. 이제 프로젝트의 Merge request 설정에서 Enable automatic rebase prior to merge를 선택할 수 있습니다. 이 설정이 켜지면 GitLab이 병합 시점에 소스 브랜치를 타깃 브랜치 위로 리베이스해 단일 동작으로 병합합니다. 개별 커밋의 GPG 서명 보존이 중요하다면 설정을 꺼둘 수 있습니다.

5. Duo Enterprise 좌석용 Code Review Flow

이전 버전에서는 GitLab Duo Enterprise 좌석 사용자가 코드 리뷰를 요청하면, 그룹에 Code Review Flow가 켜져 있어도 GitLab Duo Code Review가 리뷰를 수행했습니다. 모든 사용자에 대해 에이전트 플로를 켤 방법이 없었습니다. 이제 최상위 그룹 Owner가 이 기본값을 변경해, 좌석 종류와 무관하게 모든 코드 리뷰가 Code Review Flow를 사용하도록 구성할 수 있습니다(모든 리뷰는 GitLab Credits 소모). 이를 통해 Duo Enterprise 좌석 사용자도 동일한 리포지터리 전체 컨텍스트 인식, 다단계 추론, 리뷰 세션을 이용할 수 있습니다.

6. 자동 코드 리뷰에서 Merge request 제외 (베타)

이전 버전에서는 프로젝트·그룹에 자동 리뷰가 켜져 있으면 GitLab Duo가 자격 있는 모든 Merge request를 리뷰했습니다. 여기에는 봇이 생성한 의존성 업데이트, 피처 브랜치, 실험적 작업 등 실제로 피드백이 필요하지 않은 변경도 포함되었습니다. 이제 제외 규칙(exclusion rules)으로 특정 Merge request를 자동 리뷰에서 제외할 수 있습니다. 프로젝트·그룹에 .gitlab/duo/mr-review-automated-rules.yaml 파일을 정의하고 작성자, 소스 브랜치, 타깃 브랜치 기반 규칙(예: dependabot/*, *-bot 같은 glob 패턴)을 지정합니다. 제외된 Merge request도 수동으로는 언제든 리뷰를 요청할 수 있습니다. 이 기능은 베타이며 기본 활성화된 duo_code_review_automated_rules 기능 플래그로 제어됩니다.

7. 인스턴스 수준 커스텀 리뷰 지침

이전 버전에서는 GitLab Duo의 커스텀 리뷰 지침을 프로젝트·그룹 수준에서만 정의할 수 있었습니다. 보안 규칙이나 내부 코딩 표준처럼 인스턴스 전체에 일관된 리뷰 지침을 원하는 관리자는 동일한 지침을 모든 프로젝트에 중복 설정해야 했습니다. 이제 인스턴스 전체에 대한 커스텀 리뷰 지침을 구성할 수 있습니다. 관리자가 템플릿으로 사용할 프로젝트를 지정하면, GitLab Duo가 코드 리뷰를 수행할 때 인스턴스 수준 .gitlab/duo/mr-review-instructions.yaml 파일의 지침을 그룹·프로젝트 수준 지침과 결합합니다. 이를 통해 조직은 인스턴스 전체 리뷰 표준에 대한 단일 진실 공급원(single source of truth)을 갖습니다. Code Review Flow와 GitLab Duo Code Review 모두 인스턴스 수준 커스텀 지침을 지원합니다.

8. 리뷰 논의를 GitLab Duo로 해결 (베타)

이전 버전에서는 코드 리뷰 댓글을 해결하려면 에디터로 전환해 수정을 구현하고 커밋·푸시한 뒤 스레드를 수동으로 닫아야 했습니다. 미해결 논의마다 이 과정을 반복해야 했고, 바쁜 리뷰에서는 컨텍스트 전환 오버헤드가 누적되었습니다. 이제 어떤 리뷰 논의에서든 Resolve with GitLab Duo를 선택할 수 있습니다. GitLab Duo가 리뷰 댓글과 주변 코드를 읽고 리뷰어가 설명한 변경을 구현해 브랜치에 커밋한 뒤, 무엇을 왜 바꿨는지 요약 답글을 달고 스레드를 해결합니다. 변경을 검토한 후 수정이 댓글을 제대로 반영하지 않았다면 스레드를 다시 열 수 있습니다.

9. Self-Hosted Agent Platform 사용량 과금 점검

온라인 라이선스로 셀프호스팅 모델을 사용하는 GitLab Self-Managed 고객을 위해, 이제 GitLab Duo Health가 GitLab 인스턴스에서 다음 엔드포인트에 도달할 수 있는지 점검합니다. Customers Portal, AI Gateway, Duo Workflow Service. 이 엔드포인트 연결은 사용량 과금에 필수입니다. 이전에는 방화벽이 이들 구성요소를 차단해도 관리자가 기능을 사용할 수 없게 되기 전까지 연결 문제를 알 방법이 없었습니다. 이제 관리자는 이 신규 검증 점검으로 문제를 진단하고 사용자에게 영향이 가기 전에 방화벽 허용목록을 검토할 수 있습니다.

통합 DevOps 및 보안

1. CI Expert Agent GA

CI Expert Agent가 GA되었습니다. 이 AI 기반 어시스턴트는 GitLab CI/CD 파이프라인을 만들고 디버깅하고 최적화하도록 돕습니다. 리포지터리를 분석해 파이프라인 구성 전반에 대한 가이드를 제공합니다.

이번 GA는 베타 및 디자인 파트너 프로그램을 기반으로 하며, 실제 고객 워크로드를 대상으로 한 프로덕션 사용을 지원해 프로젝트의 CI/CD 도입 장벽을 낮춥니다.

이 에이전트는 Orbit과 연동됩니다. Orbit과 Knowledge Graph를 활성화하면 에이전트가 그래프 기반 코드 인텔리전스를 활용해 더 맥락에 맞는 파이프라인 추천을 제공합니다. Orbit과 Knowledge Graph는 베타로 제공됩니다.

2. Fix CI/CD Pipeline Flow의 타깃형 수정 제안

GitLab Duo의 Fix CI/CD Pipeline Flow가 두 가지 핵심 개선을 제공합니다. 관련 파일이 이미 Merge request diff에 포함되어 있으면 해당 Merge request에 코드 제안(code suggestions) 형태로 수정을 제공하고, 조치 전에 파이프라인 실패를 분류해 더 타깃화된 진단을 제공합니다. 또한 전체 파이프라인 계층에 걸쳐 자식 파이프라인 실패를 분석하고, AGENTS.md 파일로 프로젝트에 맞게 동작을 커스터마이징하며, AI 추론 내용은 기본적으로 접어 두어 Merge request 댓글을 깔끔하게 유지합니다.

3. 내장 프로젝트 템플릿 비활성화

조직이 커스텀 프로젝트 템플릿에 의존하는 경우, 내장 벤더 템플릿은 템플릿 선택 경험에 잡음을 더하고 때로는 서버 측 훅이나 리포지터리 제어를 우회할 수 있습니다. 이제 관리자가 Admin 영역에서 전역으로, 또는 하위 그룹에 대해 그룹 수준에서 내장 프로젝트 템플릿을 비활성화할 수 있습니다. 이 설정은 자동으로 하위에 전파되므로 그룹마다 개별 구성할 필요가 없습니다. 관리자는 그룹·하위 그룹이 재정의하지 못하도록 설정 값을 강제할 수 있습니다. 인스턴스·그룹 설정 모두 REST·GraphQL API로 관리할 수 있으며, GitLab.com에서는 그룹 수준 설정만 제공됩니다.

4. 세분화된 PAT 권한 GA

세분화된 개인 액세스 토큰(Fine-grained PAT)이 GA되었습니다. 소속된 모든 프로젝트·그룹에 접근을 부여하던 레거시 PAT와 달리, 각 토큰을 특정 리소스와 액션으로 제한할 수 있습니다. 이를 통해 자동화·연동에 최소 권한 원칙을 쉽게 적용해, 토큰이 유출·탈취되었을 때의 잠재적 영향을 줄일 수 있습니다. 설정을 쉽게 하도록 토큰 생성 시 Add permissions with Duo 기능으로 올바른 권한을 선택할 수 있습니다. 기존 레거시 PAT는 이전처럼 계속 동작하며, 신규 토큰은 필요한 리소스·액션으로만 범위가 지정되는 세분화된 PAT 사용이 권장됩니다. GA 릴리즈와 함께 세분화된 PAT는 REST API 엔드포인트 전면 커버리지와 가장 많이 쓰이는 GraphQL 타입·뮤테이션 커버리지를 확보했습니다.

5. 개인 스니펫에서 GitLab Flavored Markdown 참조

이제 개인 스니펫(personal snippets)에서 GitLab Flavored Markdown(GFM) 참조를 두 가지 방식으로 사용할 수 있습니다. GitLab이 프로젝트 스니펫 및 다른 영역과 마찬가지로 개인 스니펫 설명·댓글 내부의 GFM 참조를 처리하며, 프로젝트 스니펫에 이미 동작하던 $<id> 구문을 사용해 댓글, 이슈·Merge request 설명 등 GFM이 지원되는 어디서든 개인 스니펫을 참조할 수 있습니다. 스니펫 ID는 개인·프로젝트 스니펫 전체에서 고유하므로 각 ID는 하나의 스니펫으로 해석됩니다.

6. GitLab Achievements로 기여자 인정

이전에는 GitLab에 팀원, 고객, 기여자의 기여를 공식적으로 인정하는 내장 기능이 없어, 노력이 종종 인정받지 못하고 커뮤니티가 프로젝트를 성공시킨 사람들을 기릴 일관된 방법이 없었습니다. 이제 그룹 수준에서 커스텀 성취(achievement)를 만들어 기여에 대해 사용자에게 수여할 수 있습니다. 각 성취는 이름, 설명, 아바타를 포함하며, 수여받은 사용자는 프로필에 표시할 성취를 선택할 수 있습니다. 성취는 Maintainer가 참여를 가시적으로 보상해 더 강하고 동기부여된 커뮤니티를 만드는 데 도움이 됩니다.

7. Security Manager의 에이전트 플로 구성

이제 Security Manager 역할을 가진 사용자가 프로젝트에 대해 SAST VR(취약점 해결), SAST FP(오탐), Secrets FP(오탐), Dependency Scanning VR을 구성할 수 있습니다.

8. 취약점 리포트 내보내기 필터 정상 적용

필터를 적용해 취약점 리포트를 내보낼 때, 내보낸 CSV 파일에 필터링된 데이터만 포함되도록 개선되었습니다.

9. GitLab Runner 19.2

GitLab Runner 19.2도 함께 출시되었습니다. GitLab Runner는 CI/CD 작업을 실행하고 결과를 GitLab 인스턴스로 반환하는 고확장성 빌드 에이전트입니다.

새로운 기능

• job-complete PUT 요청 시 environment 키를 전송
• KAS job 요청이 연속 실패하면 자동으로 Rails로 폴백하는 서킷 브레이커(circuit breaker) 추가

버그 수정

• 시크릿 해석 실패가 runner_system_failure로 잘못 분류되던 문제
• 19.1.0으로 업데이트 시 context deadline exceeded로 작업이 실패하던 문제
• Docker executor에서 간헐적으로 context deadline exceeded가 발생하던 문제
• FF_CONCRETE 활성화 시 아티팩트 다운로드가 실패하던 문제
• 스테이징에서 KAS Job Router GetJob 지연 히스토그램에 데이터가 표시되지 않던 문제
• 자동 러너 토큰 회전이 Docker Autoscaler executor의 활성 인스턴스를 정리해 실행 중 작업이 실패하던 문제

전체 변경 목록은 GitLab Runner CHANGELOG에서 확인할 수 있습니다.

확장 및 배포

1. GitLab Duo가 Merge request 리뷰를 읽고 응답

이제 GitLab Duo와 MCP 기반 에이전트로 Merge request 리뷰 대화를 읽을 수 있습니다. 이를 통해 AI 어시스턴트가 리뷰어 피드백, 미해결 스레드, 논의 이력의 전체 컨텍스트를 확보합니다. 에이전트에게 리뷰 댓글 요약, 피드백에 대한 응답 초안 작성, Merge request 논의에 직접 답글 게시를 요청할 수 있으며, 이 모든 것을 작업 흐름을 벗어나지 않고 수행합니다.

---

업그레이드 및 참고

GitLab을 업데이트하려면 업데이트 페이지를 참조하세요.

이번 릴리즈의 상당수 AI 기능(자동 교정, Security Review, Code Review Flow 등)은 실행 시 GitLab Credits를 소모합니다. 도입 전 사용량과 비용 정책을 확인하고, 베타 기능은 프로덕션에 적용하기 전 스테이징에서 검증하기를 권장합니다.

인포그랩은 GitLab의 공식 파트너사로서 릴리즈 노트를 번역하여 제공합니다.

원문 바로가기

GitLab 버전별 상세 기능을 확인하세요.

인포그랩의 기술지원 서비스를 받으세요!

완벽한 GitLab 구축부터 성공적인 DevOps 도입까지! 인포그랩과 DevOps 라이프사이클을 함께하세요.