Selama ini asisten AI seperti Claude Code atau Cursor bekerja di editor, lalu hasilnya disalin manual ke GitLab: buat branch, commit, buka merge request. Sejak GitLab 19.5 yang dirilis 15 Oktober 2026, alur itu berubah. MCP server GitLab resmi tersedia umum (generally available), dan agen AI dari luar GitLab kini bisa dihubungkan ke dashboard tata kelola AI milik GitLab. Artinya, agen boleh masuk lebih dalam ke repositori, tetapi ada pagar yang bisa dipasang manajer TI.

Apa yang berubah di GitLab 19.5

Model Context Protocol (MCP) adalah standar agar agen AI bisa memanggil alat dari sistem lain tanpa menebak-nebak endpoint API. Sebelumnya, klien MCP hanya bisa menjangkau sebagian kecil alat GitLab. Di 19.5, katalognya diperluas dan tersedia untuk semua tier (Free, Premium, Ultimate) di GitLab.com, Self-Managed, maupun Dedicated.

• get_artifact_file: agen membaca satu file dari artefak job CI/CD (log, laporan, test fixture) tanpa mengunduh dan mengekstrak seluruh arsip.
• Alat grup: agen bisa menelusuri grup dan subgrup yang boleh diakses pengguna, tanpa perlu ID ditulis manual.
• Alat sesi Duo: start_duo_session, get_duo_session, list_duo_sessions, dan list_duo_agents_and_flows memungkinkan agen memulai serta memantau agen dan flow GitLab Duo langsung dari klien MCP.
• Pemilihan toolset: administrator bisa memilih kelompok alat yang diekspos. Ini bentuk sederhana prinsip least privilege, karena setiap alat tambahan yang tidak perlu hanya memakan jendela konteks dan berpotensi membingungkan model.

Batas request yang perlu diketahui

Mulai 15 Oktober, MCP server di GitLab.com membatasi tiap pengguna 60 request per menit pada tier Free dan 600 pada Premium serta Ultimate. Setiap koneksi ulang dan percobaan ulang ikut dihitung. Jika agen mulai kena error HTTP 429, periksa dulu pengaturan retry di klien agen sebelum memutuskan naik tier, sebab agen yang agresif mencoba ulang bisa menghabiskan kuota hanya untuk menunggu.

Agen luar sekarang ikut tercatat

Sebelumnya AI Governance Dashboard hanya menampilkan aktivitas agen GitLab Duo Agent Platform. Di 19.5, setelah menjalankan glab govern setup satu kali, agen eksternal (Externally Connected Agents) seperti Claude Code, Cursor, dan Codex bisa dilaporkan ke fitur yang sama.

Syaratnya, opsi Allow external agents dan Store AI audit events diaktifkan. Setelah itu setiap sesi agen yang memenuhi kriteria tercatat: siapa penggunanya, agen apa, proyek mana, dan kapan berjalan. Sesi dan pemanggilan alat muncul di dashboard, sementara audit event bisa dialirkan ke SIEM melalui audit event streaming. Keluaran alat tidak dikirim, kecuali pesan error singkat dari pemanggilan yang gagal.

Dua catatan penting: fitur ini berstatus beta, dan tersedia di tier Premium serta Ultimate. Untuk instansi yang wajib punya jejak audit perubahan kode, ini alasan konkret untuk mempertimbangkan tier berbayar.

Auto mode dan /goal: nyaman, tetapi butuh pagar

GitLab Duo CLI mendapat auto mode, yaitu mode ketika agen menjalankan alat tanpa meminta persetujuan untuk setiap perintah shell, operasi git, atau panggilan MCP. Mode ini mati secara default. Administrator, Owner, dan Maintainer bisa menyalakannya per instance, grup, atau proyek, dan Administrator atau group Owner bisa mengunci pilihan Always off untuk seluruh instance atau grup. Alat yang ditandai Always Deny tetap diblokir walau auto mode aktif. Auto mode butuh GitLab Duo CLI 9.22.0 atau lebih baru, dan sebaiknya hanya dipakai di repositori tepercaya serta branch yang siap dibuang.

Perintah /goal kini juga tersedia umum di GitLab Duo CLI 9.27.0. Developer menuliskan tujuan, lalu Duo menjalankannya lewat flow yang terkendali sambil memverifikasi hasilnya:

/goal Fix the failing tests in spec/models/user_spec.rb

/goal memerlukan GitLab 19.3+ dan GitLab Duo CLI 9.17.0+. Fitur lain yang ikut matang: Code Review Flow sekarang memakai thread komentar review sebelumnya, sehingga tidak mengulang temuan yang sudah dijawab. Fitur review ini tersedia untuk semua tier.

Langkah praktis sebelum menyalakan

1. Inventarisasi dulu. Catat agen AI apa saja yang dipakai tim (Claude Code, Cursor, Codex, Duo) beserta pemilik akunnya, karena tanpa daftar ini tata kelola hanya jadi teori.
2. Batasi permukaan. Aktifkan hanya toolset MCP yang benar-benar perlu, dan buat token GitLab per orang dengan scope minimum. Jangan pakai token bersama untuk satu tim.
3. Nyalakan jejak audit. Untuk Premium/Ultimate, aktifkan Allow external agents dan Store AI audit events sebelum pilot, bukan sesudah insiden.
4. Auto mode hanya di branch sekali pakai. Biarkan mati di repositori produksi, dan bila perlu kunci Always off di level grup.
5. Rapikan kredensial. GitLab Secrets Manager kini tersedia umum di GitLab.com dan Self-Managed dengan basis OpenBao. Layanan ini memakai izin grup/proyek yang sudah ada, membatasi rahasia CI per environment, branch, dan aturan branch protection, serta mencatat audit log tiap create, read, update, dan delete. Perlu tier Premium/Ultimate dan mengonsumsi GitLab Credits.

Kesimpulannya, GitLab 19.5 memindahkan pertanyaan dari "asisten AI mana yang kodenya paling bagus" ke "platform mana yang bisa menampung agen otonom dengan aman". Bagi tim kecil, tiga hal ini sudah cukup: token berscope sempit, toolset minimal, dan kebiasaan memeriksa diff sebelum merge. Bagi instansi pemerintah yang kodenya diaudit, jalur Premium dengan audit event ke SIEM adalah opsi paling masuk akal, dengan catatan fitur agen eksternal masih beta sehingga jangan dijadikan satu-satunya kontrol.

Sumber: GitLab 19.5 release notes, GitLab Blog: Connect your agents to your software lifecycle with the GitLab MCP server, InfoQ: GitLab 19.5 Makes Agentic Development a Governed Part of the DevOps Platform.