GitLab Orbit en disponibilité générale : ce que le graphe de contexte change pour vos agents IA

Depuis le 29 octobre 2026, GitLab Orbit est en disponibilité générale pour les clients Premium et Ultimate, d'abord sur GitLab.com¹. Orbit donne aux agents que vous utilisez déjà un graphe qui relie votre code à ses merge requests, pipelines, déploiements et vulnérabilités, filtré par les droits GitLab de celui qui interroge. Les gains annoncés (jusqu'à 45 fois moins de retries, 4,5 fois moins de tokens) viennent des tests de GitLab, sans méthodologie publiée. Le seul test client publié mesure un gain de moins de quatre points de couverture pour une revue quatre fois plus chère³. Si votre cycle de vie logiciel vit dans GitLab, demandez l'essai de 30 jours et mesurez sur vos propres tâches.

Le contexte plutôt que le modèle : la thèse de GitLab

Un agent de code lancé sur un gros dépôt ne voit que des fichiers. Il ignore quelle merge request a modifié une fonction, quel pipeline l'a testée, quelle vulnérabilité elle embarque, quelle équipe la maintient. Pour reconstituer ces liens, il enchaîne lectures de fichiers, recherches et appels d'API, et recommence quand il se trompe. GitLab résume sa thèse en deux phrases : « The model isn't the constraint. Context is. »¹

GitLab reprend le principe du context engineering, qu'un travail académique récent chiffre et tempère. L'article Codebase-Memory (Vogel, Meyer-Eschenbach, Kohler, Grünewald et Balzer, mars 2026) sert à un agent, via MCP, un graphe de code construit avec Tree-sitter. Sur 31 dépôts réels, l'agent consomme dix fois moins de tokens et fait 2,1 fois moins d'appels d'outils qu'un agent qui explore les fichiers un par un ; la qualité de ses réponses tombe en revanche à 83 %, contre 92 % pour l'explorateur¹⁶. Le graphe a divisé les tokens par dix et coûté neuf points de qualité.

Ce que GitLab Orbit indexe, et ce qu'il ignore

Orbit construit un graphe de propriétés en lecture seule pour chaque groupe de premier niveau où il est activé, ce que seul un Owner du groupe (ou un administrateur de l'instance en Self-Managed et Dedicated) peut faire⁸¹⁰. Le graphe a deux couches⁸⁹ :

• la couche cycle de vie : groupes, projets, utilisateurs, merge requests, pipelines, work items et résultats de sécurité, alimentés par un flux de capture de changements ; une nouvelle merge request apparaît dans le graphe en quelques minutes⁸ ;
• la couche code : fichiers, répertoires, définitions, imports et appels, pour la branche par défaut de chaque projet seulement. Orbit n'indexe aucune autre branche ; une question sur une branche de travail reçoit la réponse de la branche par défaut⁸⁹.

Les agents interrogent ce graphe en GQL, un langage en lecture seule proche d'openCypher¹⁷. Savoir quels projets d'un groupe une CVE touche, et quels correctifs ont atteint la production, tient en une requête, là où il fallait enchaîner les appels d'API⁷. GitLab cite un partenaire de conception qui a répondu à une question de couverture sécurité sur 34 millions d'entités en sept minutes, contre une demi-journée estimée via l'API¹.

La couverture a progressé depuis la bêta. Le billet de lancement de juin listait douze langages⁵ ; la documentation en compte aujourd'hui une vingtaine, dont HCL pour Terraform. Elle lit aussi les clés YAML des fichiers GitLab CI, Helm, ArgoCD et Docker Compose, mais sans aucune référence d'un fichier à l'autre⁹. Le 12 juin, Riftmap, concurrent direct sur l'analyse d'impact entre dépôts, écrivait qu'Orbit n'avait ni parseur Terraform, ni parseur Dockerfile, ni parseur Helm¹⁴. Le premier point est corrigé ; le deuxième tient toujours, GitLab confirmant le 22 octobre qu'Orbit ne lit pas encore les Dockerfiles¹⁵ ; le troisième l'est à moitié, puisqu'un chart Helm devient des définitions isolées et non un graphe de dépendances. Pour une équipe plateforme, l'impact du changement d'une image de base ou d'une valeur Helm partagée reste hors du graphe.

Comment brancher Claude Code, Codex ou Cursor sur Orbit

Les agents de GitLab Duo Agent Platform utilisent Orbit sans configuration¹¹. Pour les autres, GitLab cite Claude Code, Codex, Cursor, OpenCode, Gemini CLI, Antigravity et tout agent compatible MCP¹. Deux chemins existent :

• la CLI : après glab auth login, la commande glab orbit setup installe la CLI Orbit et une skill qui apprend à l'agent à interroger le graphe. Elle prend en charge Claude Code, Codex, GitLab Duo, OpenCode et Pi ; les autres agents compatibles avec la spécification Agent Skills, comme Gemini CLI, peuvent charger la même skill¹¹ ;
• le serveur MCP d'Orbit, pour les agents qui n'exécutent pas de commandes shell¹¹. Les outils internes passent par l'API REST, et les ingénieurs disposent d'un éditeur de requêtes dans l'interface¹.

Une équipe plateforme doit lire ce que fait setup avant de le diffuser. La commande écrit un bloc dans le fichier d'instructions de chaque agent, ajoute pour Claude Code un hook qui rappelle d'utiliser orbit grep quand l'agent lance grep ou rg, et autorise la skill dans settings.json pour qu'elle se charge sans confirmation. Avec --project, elle modifie CLAUDE.md et AGENTS.md dans le dépôt, des fichiers que l'équipe committe en général¹¹. Faites passer ce changement par une merge request, comme le reste du contexte de vos agents.

La CLI construit aussi un graphe local, limité au code de votre poste, qui fonctionne hors ligne et sans compte GitLab ; cette partie de la CLI est ouverte au palier Free¹².

Les chiffres de GitLab : 45x, 4,5x, 11x, à lire comme des meilleurs cas

Les gains mis en avant viennent tous des tests internes de GitLab, présentés comme obtenus sur les mêmes tâches avec le même modèle¹ :

• jusqu'à 45 fois moins de retries selon le billet de GA, ou 45 fois moins d'hallucinations selon le communiqué et le billet de lancement de juin¹²⁵ : la métrique change selon le support ;
• jusqu'à 4,5 fois moins de tokens¹ ;
• jusqu'à 11 fois plus rapide, chiffre absent du billet de GA mais présent dans le billet de juin et dans le billet compagnon du 29 octobre sur les vulnérabilités⁵⁶.

Aucune source publique ne précise le jeu de tâches, leur nombre ni le modèle. Le détail le plus précis figure dans un billet GitLab du 13 octobre sur les crédits : la même tâche dans Claude Code a demandé jusqu'à 45 fois moins de retries avec Orbit et, « separately », 4,5 fois moins de tokens⁴. Les deux chiffres pourraient donc venir de deux essais distincts, et « jusqu'à » désigne un meilleur cas. Tant que personne ne les a reproduits, ce sont des annonces d'éditeur.

Compare the Market : Orbit bat le RAG, de peu l'absence de contexte

Le seul test externe publié vient de Compare the Market, comparateur britannique. L'équipe a comparé quatre stratégies de contexte pour son relecteur IA de merge requests (aucun outil de contexte, Orbit, RAG, Orbit plus RAG) sur 79 merge requests internes annotées, avec MLflow sur Databricks³. Ryan Harvey, responsable de l'ingénierie IA de l'entreprise, résume dans le communiqué : « the gap was clear: better comment placement, better summaries of what actually changed »².

Les chiffres de l'équipe nuancent cette lecture :

Stratégie	Couverture des commentaires inline	Coût estimé par revue	Durée moyenne
Sans outil de contexte	0,658	0,58 $	≈ 44 s
Orbit	0,696	2,37 $	80,6 s
RAG	0,577	non détaillé (fourchette 1,82 à 2,37 $)	90,8 s

Source : Compare the Market³. Les coûts sont présentés par l'équipe comme illustratifs, calculés sur les tarifs de GPT-4 pour comparer les approches entre elles.

GitLab met en avant l'écart avec le RAG, environ 70 % contre 58 %¹. L'écart qui compte pour une décision est celui avec la configuration sans contexte : 0,696 contre 0,658, soit moins de quatre points, pour une revue quatre fois plus chère et presque deux fois plus lente. Sur la couverture des résumés, l'écart avec la configuration sans contexte tombe à 0,681 contre 0,675 ; sur la couverture des problèmes, Orbit et RAG sont au coude à coude (0,929 contre 0,926). Le RAG a fait moins bien que l'absence de contexte sur presque toutes les métriques, ce que l'équipe attribue au bruit de la recherche par similarité. La combinaison Orbit plus RAG, la plus lente (environ 99 s), n'a rien amélioré. Orbit faisait 3,27 appels d'outils par revue, contre 1,23 pour le RAG³.

L'équipe recommande malgré tout un outil fondé sur l'arbre syntaxique comme Orbit pour retrouver le contexte du code, et la seule lecture du diff pour les merge requests simples³. Le choix se fait donc merge request par merge request, pas une fois pour toutes.

Trois limites, posées par l'équipe elle-même, encadrent ces chiffres³ :

• le test portait sur la bêta : un conteneur faisait tourner le binaire Orbit à côté du relecteur et reconstruisait le graphe des symboles du code à chaque pipeline ; le graphe du cycle de vie vendu aujourd'hui n'a pas été testé ;
• les métriques mesurent l'alignement avec des réponses attendues, jugé par un LLM, et l'équipe précise qu'elles ne mesurent pas la qualité absolue des revues ;
• 79 merge requests donnent une indication de direction, sans couvrir tous les cas.

La conclusion de l'équipe vaut au-delà d'Orbit : « more context isn't always better; precision matters as much as coverage ». Notre guide de décision entre context engineering et RAG arrive au même constat : un contexte mal ciblé coûte des tokens et dégrade la réponse.

GitLab Orbit : prix des query packs et disponibilité

Orbit se vend en « query packs » qui alimentent une réserve unique pour toute l'organisation, humains et agents confondus, sans gestion de sièges. Selon le billet de GA, chaque pack coûte 30 $ en GitLab Credits par utilisateur et par mois et ajoute 1 000 requêtes à la réserve ; au-delà, la consommation est facturée 33 requêtes par crédit, soit environ 0,03 $ la requête. Une requête est un appel au graphe, qu'il vienne d'un agent, de l'interface GitLab ou de l'API. Des prix promotionnels sont proposés ce trimestre aux premiers clients¹. Le crédit consommé au-delà des engagements est facturé 1 $ au prix catalogue¹³. Le communiqué ne donne aucun prix et renvoie au dimensionnement par les équipes commerciales².

La formule « par utilisateur » laisse un point à confirmer avec GitLab : si chaque utilisateur porte un pack, une organisation de 100 personnes paie 3 000 $ par mois pour 100 000 requêtes. Pendant la bêta, Orbit était gratuit⁴. Le communiqué annonce plus de 3 500 organisations et plus de 280 000 requêtes lancées par leurs agents depuis juin², soit 80 requêtes par organisation en moyenne sur toute la bêta. L'usage réel est donc encore faible, et un agent de revue automatique qui interroge le graphe trois fois par merge request le changera vite.

Orbit est réservé aux paliers Premium et Ultimate. GitLab.com ouvre le 29 octobre, GitLab Self-Managed et GitLab Dedicated suivent dans les semaines qui viennent¹. La documentation situe la disponibilité générale dans GitLab 19.5⁷. Sur GitLab.com, Orbit tourne dans un cluster Kubernetes séparé qui ne partage ni calcul ni mémoire avec l'instance ; en Self-Managed, vous l'installez et l'exploitez vous-même sur Kubernetes⁸. L'essai gratuit de 30 jours se demande à l'équipe commerciale¹.

Permissions, jetons, rétention : ce que le RSSI doit regarder

Orbit n'ajoute aucune permission propre : chaque requête est autorisée par GitLab, et chaque résultat est revérifié avant d'être renvoyé, y compris pour les éléments confidentiels et les restrictions d'adresses IP des groupes¹⁰. Une couche de contexte tierce doit reconstruire ces droits elle-même. La documentation de sécurité contient pourtant quatre points à vérifier avant de brancher un agent¹⁰ :

• Les rôles. Reporter suffit pour interroger projets, merge requests, CI/CD et work items ; les données de sécurité demandent Security Manager, Developer, Maintainer ou Owner. Un Reporter ne voit aucune entité de sécurité, même dans les agrégats.
• Les jetons. L'application du SSO SAML ne s'impose pas aux jetons d'accès personnels à granularité fine configurés pour Orbit : un tel jeton continue de fonctionner après l'expiration de la session SAML de son propriétaire.
• Les comptes de service. GitLab déconseille de leur donner un accès administrateur ou auditeur : les requêtes de ces profils portent sur tous les groupes où Orbit est actif, et un jeton fuité exposerait l'ensemble.
• La rétention. Quand Orbit est désactivé pour un groupe, GitLab conserve le graphe 30 jours avant de le supprimer⁸.

Un graphe qui relie le code aux vulnérabilités et à leurs propriétaires est aussi une carte précieuse pour un attaquant. Les règles de sécurisation du contexte des agents s'appliquent ici comme ailleurs.

Orbit face aux autres couches de contexte

D'autres que GitLab vendent ou publient un graphe de code. Des outils open source le construisent en local et le servent en MCP, Codebase-Memory en est un exemple publié¹⁶, Augment Code vend son Context Engine, et GitLab fournit lui-même un graphe local gratuit¹². L'apport d'Orbit tient à la couche cycle de vie : pipelines, déploiements, vulnérabilités et propriété, reliés au code sous les permissions existantes, sans connecteur à maintenir. En contrepartie, Orbit ne voit que ce qui vit dans GitLab. Glean et Anthropic se livrent la même bataille de la couche de contexte sur les documents de l'entreprise.

Ce que ça change, par lecteur

• DSI. Si votre cycle de vie est centralisé dans GitLab, Orbit renforce l'intérêt de la plateforme pour vos agents ; si votre code se répartit entre GitLab et GitHub, il n'en couvrira qu'une partie. Dans les deux cas, la décision se prend sur des mesures internes, pas sur les 45x.
• CTO, lead dev. Rejouez pendant l'essai un échantillon de tâches réelles (revue de merge request, triage de pipeline en échec, impact d'une CVE) avec et sans Orbit, même agent, même modèle. Suivez le taux de réussite au premier essai, les tokens par tâche et le coût par changement accepté. Vérifiez que les tâches visées portent sur la branche par défaut.
• RSSI. Passez en revue les quatre points de la documentation de sécurité ci-dessus, et surtout les jetons des agents automatisés.
• Achats. Faites préciser la règle « par utilisateur » des query packs, estimez le volume d'un agent de revue automatique avant de signer, et demandez ce que deviennent les prix promotionnels après ce trimestre.

Vos agents dépensent une part de leur budget à reconstituer un contexte que GitLab connaît déjà, et Orbit le leur sert. Le seul test externe publié mesure un gain réel et un coût en hausse. Traitez Orbit comme une couche d'infrastructure à évaluer, et jugez-la sur le coût du contexte par changement accepté plutôt que sur les tokens économisés.

Sources

1. Corinne Dent, Angelo Rivera et Gabriel Engel, « GitLab Orbit is GA: Higher agent accuracy, lower token cost » (disponibilité Premium et Ultimate, GitLab.com puis Self-Managed et Dedicated, 45x moins de retries et 4,5x moins de tokens, partenaire de conception sur 34 millions d'entités, agents tiers, REST et éditeur de requêtes, query packs, 33 requêtes par crédit, prix promotionnels, définition d'une requête, Compare the Market à 70 % contre 58 %, essai de 30 jours) — about.gitlab.com, 29 octobre 2026.
2. GitLab, communiqué « GitLab Orbit, Now Generally Available, Makes AI Agents More Accurate and Less Expensive to Run » (45 fois moins d'hallucinations, 3 500 organisations et 280 000 requêtes, dimensionnement commercial, citation de Ryan Harvey) — Business Wire, repris par financialcontent.com, 29 octobre 2026.
3. Compare the Market, « Comparing Context Retrieval Approaches for AI Code Review » (79 merge requests, quatre stratégies, couverture inline et des problèmes, coûts illustratifs sur tarifs GPT-4, latences, appels d'outils, bêta en sidecar, MLflow sur Databricks, limites) — comparethemarketcareers.com, non daté, consulté le 29 octobre 2026.
4. Allie Holland, « Make every AI credit count: See, cap, and reduce agent spend » (Orbit en bêta gratuite, 45x et « separately » 4,5x dans Claude Code) — about.gitlab.com, 13 octobre 2026.
5. Rebecca Carter, « Introducing GitLab Orbit » (bêta publique, douze langages, 11x, 4,5x, 45x moins d'hallucinations) — about.gitlab.com, 10 juin 2026.
6. Rebecca Carter, « GitLab Orbit: Find vulnerability blast radius without the manual hunt » (11x, 4,5x, 45x) — about.gitlab.com, 29 octobre 2026.
7. GitLab Docs, « GitLab Orbit » (historique des versions, disponibilité générale dans GitLab 19.5, exemples de questions) — docs.gitlab.com, consulté le 29 octobre 2026.
8. GitLab Docs, « GitLab Orbit architecture » (graphe de propriétés en lecture seule par groupe de premier niveau, indexation, hébergement séparé, rétention de 30 jours) — docs.gitlab.com, consulté le 29 octobre 2026.
9. GitLab Docs, « GitLab Orbit indexed data » (deux couches, branche par défaut seulement, langages pris en charge dont HCL, clés YAML) — docs.gitlab.com, consulté le 29 octobre 2026.
10. GitLab Docs, « GitLab Orbit security » (rôles, contrôle de chaque résultat, jetons et SSO SAML, comptes de service) — docs.gitlab.com, consulté le 29 octobre 2026.
11. GitLab Docs, « Connect your agent » (glab orbit setup, agents pris en charge, skill, hooks, fichiers modifiés, serveur MCP) — docs.gitlab.com, consulté le 29 octobre 2026.
12. GitLab Docs, « GitLab Orbit CLI » (graphe local hors ligne, palier Free) — docs.gitlab.com, consulté le 29 octobre 2026.
13. GitLab Docs, « GitLab Credits and usage billing » (crédits à la demande à 1 $ au prix catalogue) — docs.gitlab.com, consulté le 29 octobre 2026.
14. Daniel Westgaard, « GitLab Orbit maps your whole SDLC. It still can't tell you what an infrastructure change will break. » (blog d'un concurrent) — riftmap.dev, 12 juin 2026.
15. GitLab, « PHP2Shell: GitLab helps find and remediate critical PHP flaws » (Orbit ne lit pas encore les Dockerfiles) — about.gitlab.com, 22 octobre 2026.
16. Martin Vogel, Falk Meyer-Eschenbach, Severin Kohler, Elias Grünewald et Felix Balzer, « Codebase-Memory: Tree-Sitter-Based Knowledge Graphs for LLM Code Exploration via MCP », arXiv:2603.27277 — arxiv.org, 28 mars 2026.
17. GitLab Docs, « GitLab Orbit query language » (GQL, lecture seule, proche d'openCypher) — docs.gitlab.com, consulté le 29 octobre 2026.