GitLab explique pourquoi les agents de codage IA ont besoin du contexte de la plateforme, pas seulement du code

Chaque semaine apporte son lot de démos d'agents IA qui transforment un prompt en pull request en cinq minutes. Mais les démos s'arrêtent au commit. La PR ne référence pas l'issue qu'elle devait corriger. Le pipeline CI/CD échoue parce que l'agent ignorait une nouvelle règle du linter. Le scan de sécurité signale une dépendance que l'agent a ajoutée sans vérifier la liste des dépendances approuvées de l'organisation. Ce sont des défaillances de contexte, et ce sont elles qui décident si le codage assisté par IA accélère la livraison ou crée du retravail.

Trois niveaux de contexte

GitLab a publié un tutoriel avec Claude Code et un autre avec Codex, qui illustrent le même schéma : ce qui change quand un agent IA reçoit de plus en plus de contexte de la plateforme.

Niveau 1 : uniquement le code du dépôt. Vous pointez l'agent vers la base de code et décrivez le problème. L'agent lit les fichiers, propose un correctif et lance le build. Le code fonctionne en local, mais dans le vide. L'agent ne voit pas les critères d'acceptation de l'issue, ne connaît pas les exigences non fonctionnelles et n'a pas lu les standards de style de la configuration CI.

Niveau 2 : code du dépôt + issue GitLab. Connectez le serveur MCP de GitLab et l'agent peut lire l'issue avant d'écrire du code. Les exigences, notes d'implémentation, labels et jalons deviennent visibles. L'agent ajoute `Closes #32` à la description de la MR parce qu'il comprend le lien entre la modification et l'issue. Il utilise `get_issue` et `create_merge_request` avec les bonnes références. Cette fois, le correctif correspond au plan de l'équipe.

Niveau 3 : l'agent travaille dans la merge request. GitLab Code Review Flow laisse des retours automatiquement. L'agent est appelé comme relecteur externe pour traiter les remarques :

• ajoute les tests manquants
• met à jour la documentation
• comble les lacunes de validation
• commite les modifications directement dans la branche de la MR

Le pipeline valide le nouveau commit. Le relecteur humain voit le résultat dans un seul outil, sans changer de contexte. Résultat : moins de cycles de relecture et des merges plus rapides.

Le contexte compte surtout pour la sécurité

Les agents de codage IA produisent du code rapidement. Plus de code, c'est plus de vulnérabilités potentielles, plus de résultats des scanners et plus de MR de correction à relire. Auparavant, le goulot d'étranglement se situait côté sécurité : scanner, prioriser les résultats, escalader les critiques, attendre les correctifs. Il se déplace désormais. Le workflow passe de « quelle vulnérabilité corriger en premier » à « quelle MR de correction générée par IA relire en premier ».

Cette décision exige un contexte qu'un agent local n'a pas : l'intégralité du code environnant de l'application, le flux de données complet, les cibles de déploiement et les politiques de sécurité de l'organisation. Avec un contexte complet, la priorisation gagne en précision. Un agent qui voit le code environnant et les politiques applicables classe les résultats selon l'exposition réelle dans votre environnement, et non selon des scores de sévérité génériques.

La couche de sécurité de GitLab analyse les résultats avec le contexte complet du projet, filtre les faux positifs et marque les vulnérabilités confirmées. Une fois la vulnérabilité confirmée, la résolution SAST agentique crée automatiquement une MR avec le correctif. Le pipeline la valide. Un relecteur l'approuve. La gouvernance reste intacte.

Comment démarrer

Investissez dans AGENTS.md, un fichier d'instructions personnalisées. Documentez le fonctionnement du dépôt, les commandes à lancer et les attentes en matière de qualité. C'est un investissement ponctuel qui paie à chaque session d'agent.

Surveillez la consommation de contexte. Si les sessions sont lentes ou les résultats superficiels, le problème vient du contexte que vous fournissez au modèle. Un contexte structuré via les intégrations de la plateforme donne de meilleurs résultats que des dumps bruts de fichiers.

Assurez-vous que tous les projets sont analysés par des outils de sécurité. Activez les Security Configuration Profiles au niveau du groupe.

Ce que cela signifie

Les agents de codage IA ne fonctionnent de façon fiable que si la plateforme leur donne du contexte et garantit que leur production passe les quality gates. Les démos de cinq minutes dans le vide ne reflètent pas la réalité de la production. Les organisations qui systématisent le contexte via l'issue tracker, le pipeline, la politique de sécurité et les standards de code review obtiendront un avantage concurrentiel.