美国战争部新规：AI生成的代码须经人工审查测试

美国战争部（Department of War，DoW）现在将 AI 生成的代码一律视为未经核验，除非另有证明。DoW 指令 8430.01《加速任务软件》于 2026 年 9 月 8 日生效，是该部门关于软件现代化与管理的最新指导文件。如果你为 DoW 构建或采购软件，这项指令改变了 AI 写下的每一行代码对你的要求：你必须按照与人工编写代码相同的标准对其进行审查和测试，标明 AI 触及了哪些部分，并确保这些代码运行在部门批准的系统中。以下是该指令对你的团队提出的要求，以及 GitLab 如何帮助你满足这些要求。

什么是 DoW 指令 8430.01？

DoW 指令 8430.01 由 DoW 首席信息官 Kirsten Davies 签发，适用于 DoW 的每一个组织，以及任何包含软件的采购项目，无论成本高低。该指令为软件的现代化和管理制定了政策与流程，重点在于更快地交付能力。它要求团队实现测试和安全扫描的自动化，复用已经奏效的成果，并在软件构建过程中产出证据。

该指令还鼓励团队使用 AI，称 AI 辅助开发是提升速度与质量的重大力量倍增器。但它附加了三个条件：AI 的角色可追溯；其代码经过核验，以确保开发者始终承担责任；政府数据始终留在批准的边界之内。每一个条件都改变了软件平台必须做到的事情。

塑造 AI 交付方式的三项要求

尽管 DoW 指令 8430.01 涵盖范围很广，上述三个条件说明了软件平台必须如何调整。下面详细展开。

1. 可追溯性：知道 AI 触及了什么

DoW 网络上的软件需要证明其中包含什么、是如何构建的。当涉及 AI 时，证明也必须覆盖 AI：使用了哪些模型、哪些版本、哪些数据集来编写或测试代码。

在 GitLab 中，这些记录就存放在你的代码旁边。依赖扫描（Dependency Scanning）会生成你的软件物料清单，审计事件和部署记录则作为交付过程的一部分自动产生。GitLab Duo Agent Platform 中的智能体通过各自的服务账号行事，该账号绑定到启动它的开发者，因此一次提交会显示为该智能体代表某个具名人员执行操作。随后这次提交会进入与其他所有内容相同的审计日志，你的 SIEM 可以将其筛选为 AI 活动。由于证据留在平台内，你可以在受管策略下更换模型，而不会抹去历史记录。

2. 核验：检查 AI 写了什么

加速交付不能牺牲安全性、安全防护或供应链完整性。AI 生成或 AI 修改的代码属于未经核验的输入，对安全关键功能（即可能让攻击者闯入的缺陷）或安全攸关功能（即可能造成人员或平台损失的缺陷）的变更必须由人工批准。正如指令所述：“开发者和开发团队对使用 AI 生成或修改的任何代码的安全性、功能性和完整性承担全部责任。”

在 GitLab 中，无论代码由开发者还是智能体编写，每一次变更的扫描、测试和审批规则都在同一条流水线中运行。合并请求审批策略可以要求：每当变更触及受保护路径或引入漏洞时，必须由指定审查人批准；受保护分支则意味着智能体可以提议，但无法越过你指定的人员直接合并。

依赖扫描自动修复（Dependency Scanning Auto-Remediation，目前处于 beta 阶段）就是智能体执行工作、而审查者仍然签字确认的一个例子。它会提出依赖升级和构建修复建议，这些建议会像其他任何合并请求一样，停留在你现有的审批关卡等待处理。当 GitLab 跨多个步骤编排智能体时，一个 flow 可以自行将变更依次推进通过审查、测试、扫描和审批，并在合并或部署前暂停，等待人工签字确认。每个 flow 都在与 GitLab 其余部分相同的身份、策略和证据链下运行，因此速度不意味着跳过步骤。对于需要决定给智能体多少自主权的团队，GitLab Security Standard 定义了五个阶段（授权、隔离、核验、发布和响应），智能体必须通过这些阶段才能获得该自主权。这些阶段映射到 NIST 安全软件开发框架（SSDF）和 SP 800-53 控制项。

3. 数据边界：控制 AI 运行的位置

AI 系统必须尊重数据边界，同时不损害知识产权或机密上下文。经批准的 AI 服务必须保证政府数据和提示词不会被用于训练外部模型，非公开的 DoW 信息留在经批准的 DoW 系统上。这意味着要控制使用哪些模型以及它们托管在哪里。

GitLab Duo Agent Platform 自托管版运行在你控制的基础设施上，包括气隙网络。你可以选择受支持的模型，部署在本地或私有云中，并且无需重建工作流即可更换模型。请求经由你自己部署的 AI Gateway 路由，因此提示词和响应都留在你的环境中。对于 GitLab Dedicated for Government 客户，这是标准配置：你在自己的环境中运行 AI Gateway，并连接到你选择的模型提供商。

立即遵守 DoW 指令 8430.01

AI 写代码的速度只会越来越快。更难的工作是证明这些代码值得信任，而 DoW 指令 8430.01 正是要求你的团队做到这一点。GitLab 将这份证明与工作本身放在一起：每一次 AI 辅助的变更都带有自己的证据和审计轨迹，通过与人工编写代码相同的关卡，并运行在你托管和控制的模型上。你的开发者对 AI 和非 AI 工作获得相同的防护栏，而无需学习额外的工具。

了解 GitLab Duo Agent Platform 如何帮助国防团队让 AI 生成的代码保持受治理、可审计并处于人类控制之下。