Atlassian: agenci AI naprawili ponad 120 luk bezpieczeństwa w Bitbucket w trzy miesiące

Atlassian opublikował 30 sierpnia opis pierwszego dużego wdrożenia funkcji Agentic Pipelines w Bitbucket Cloud, w którym agenci AI samodzielnie wyszukują podatne repozytoria, łatają luki bezpieczeństwa i od razu przygotowują pull requesty gotowe do scalenia, zamiast zostawiać programistom kolejne zgłoszenie w kolejce.

Trzy role w łańcuchu automatyzacji

Proces opisany przez Atlassian dzieli pracę na trzy elementy. Pierwszy, nazwany Dispatcherem, przeszukuje zgłoszenia w Jirze pod kątem podatności, ocenia, które z nich nadają się do automatycznej naprawy, i grupuje powiązane ze sobą prace, żeby agent nie otwierał osobnego pull requesta dla każdej drobnej poprawki z tego samego pliku.

Drugi element, Coding Agent, wykonuje właściwą pracę inżynierską: aktualizuje repozytorium, uruchamia istniejące testy, zakłada gałąź i otwiera pull request. Agent działa według instrukcji zapisanych bezpośrednio w repozytorium, więc zespoły mogą definiować własne zasady stylu kodu, wymagane testy czy sposób opisywania zmian, zamiast polegać na domyślnym zachowaniu modelu.

Trzeci element, Closer, wkracza po scaleniu zmian: weryfikuje, czy wdrożenie przebiegło poprawnie, i aktualizuje status zgłoszenia w Jirze. Człowiek pozostaje w pętli na etapie code review, agent nie ma uprawnień do samodzielnego scalania zmian z główną gałęzią.

Wyniki po trzech miesiącach

Atlassian podaje konkretne liczby z własnego wdrożenia. Jeden zespół inżynierski w ciągu trzech miesięcy zamknął ponad 120 podatności, a agenci utworzyli ponad 55 pull requestów, które ostatecznie trafiły do głównej gałęzi kodu. Najbardziej wymowny jest wskaźnik jakości: 95 procent tych pull requestów zostało zaakceptowanych bez żadnych poprawek i bez błędów w testach za pierwszym razem.

Taki odsetek oznacza, że recenzenci w większości przypadków tylko potwierdzają gotową zmianę, zamiast negocjować z agentem kolejne iteracje. Dla zespołów bezpieczeństwa, które zwykle mierzą się z rosnącym zaległym backlogiem zgłoszeń CVE i podatności z narzędzi skanujących, to bezpośrednie przełożenie na czas pracy inżynierów, a nie tylko na liczbę zamkniętych ticketów.

Zacznij dzień od przetestowanego pull requesta, a nie kolejnego zgłoszenia do odebrania - Arthy Vijayaraghavan, Senior Engineering Manager, Atlassian

Kto może z tego korzystać

Agentic Pipelines pozostają w otwartej becie i wymagają płatnego konta Bitbucket Cloud z włączonymi Pipelines oraz osobnej subskrypcji Rovo Dev Standard. Funkcja obsługuje trzy silniki agentowe do wyboru: własnego Rovo Dev od Atlassiana, Claude Code od Anthropic oraz OpenAI Codex, co pozwala zespołom zachować dotychczasowe preferencje co do dostawcy modelu.

Sama funkcja Agentic Pipelines została pierwotnie zapowiedziana szerzej niż tylko pod kątem bezpieczeństwa, jako sposób na automatyzację żmudnych, powtarzalnych zadań: naprawy niestabilnych testów, generowania release notes czy diagnozowania nieudanych buildów. Wpis z 30 sierpnia zawęża tę narrację do jednego, konkretnego i mierzalnego przypadku użycia: usuwania podatności z kodu produkcyjnego.

Co to znaczy dla programistów

Przykład Atlassiana wpisuje się w szerszy trend przesuwania agentów kodujących z roli podpowiadającej linijki kodu w edytorze do roli wykonawcy całych zadań powiązanych z systemem zgłoszeń. Zamiast programisty klikającego akceptację sugestii w IDE, w tym modelu agent samodzielnie przechodzi od zgłoszenia w Jirze do gotowego, przetestowanego pull requesta.

Dla zespołów bezpieczeństwa i dla firm zarządzających dużymi repozytoriami oznacza to potencjalnie krótszy czas reakcji na podatności bez zwiększania liczby etatów. Kluczowym zastrzeżeniem pozostaje jednak to, że proces wciąż wymaga ludzkiej recenzji przed scaleniem kodu, a wskaźnik 95 procent dotyczy jednego wewnętrznego zespołu Atlassiana, więc inne organizacje mogą uzyskać inne rezultaty w zależności od jakości własnych instrukcji i pokrycia testami.