Googleの「Gemini Enterprise Agent Platform」および「AI Threat Defense」の利用者は、脆弱性の発見と修正を行うエンタープライズ向けフルマネージドAIコードセキュリティエージェントとなった「CodeMender」を活用できるようになりました。
Google DeepMindが開発したCodeMenderは、2025年10月に高度なセキュリティ研究プロジェクトとして正式に発表されました。
当初は、自律的かつ研究ベースでのソフトウェア脆弱性の発見、デバッグ、パッチ適用といった機能を提供していました。
このシステムはGeminiの推論モデルと静的・動的コード解析ツールを組み合わせて活用し、コードベースの欠陥に対する深い根本原因分析を実施していました。
単に理論上のセキュリティ問題を指摘するだけでなく、正しいパッチを生成し、それらが回帰(リグレッション)を引き起こすことなく脆弱性を解消することを自動的に検証する点に重点を置いていました。
研究の初期段階について、DeepMindチームは、CodeMenderがレガシーなコードベースのパターンを書き換え、脆弱性のクラス全体を事前に排除するという能動的な能力も示したと述べています。その結果、人間の監督下(human-in-the-loop)で、主要なオープンソースプロジェクトに対して72件のセキュリティ修正がアップストリームされることに成功しました。
研究ツールからエンタープライズ対応のAIコードセキュリティエージェントへ
今回Googleは、単独の研究プロジェクトであったCodeMenderをGoogle Cloudのインフラに直接統合し、フルマネージドでエンタープライズ対応のAIコードセキュリティエージェントへと移行させることで、その機能を拡張しました。
このエージェントはコード解析だけに頼るのではなく、顧客が管理するサンドボックス内で概念実証(PoC)エクスプロイトを積極的に構築・実行し、脆弱性が実際に悪用可能かどうかを検証するようになりました。
また、検証済みの修正をコードの差分としてレビュー用に開発パイプラインへ直接提供するとともに、大規模言語モデルを判定役として用いる「LLM-as-a-judge」の仕組みを導入し、これらの変更が組織固有のルールに沿ったものであり、コアとなるビジネスロジックを破壊しないことを保証します。
CodeMenderは現在マルチモデル対応となっており、開発者はコスト、速度、深いスキャンのニーズに応じて、Gemini 3.5 Flash、Gemini 3.1 Pro、Gemini 3 Flashなど複数のGeminiモデルから選択できます。
Googleは7月21日付の声明で、「本年後半にはサードパーティのフロンティアモデルのオプションにも対応する予定です」と述べています。
関連記事: Google CloudのCISOに就任したChris Betz氏に聞く、サイバー防御へのAI統合
CodeMenderの現行機能と今後のロードマップ
現在、エンタープライズ顧客はGoogle Cloudのエコシステムを通じてCodeMenderを利用できます。
Gemini Enterprise Agent Platform上ではコードセキュリティエージェントとしてパブリックプレビュー版が提供されており、一般提供中のモデルに対応するとともに、コマンドラインインターフェース(CLI)やVS Code、Antigravityデスクトップアプリといったツールを通じてローカルの開発環境に直接統合できます。
CodeMenderはGoogle AI Threat Defenseの中核コンポーネントとしても即座に導入可能で、Mandiantの最前線の専門知識やWizのコンテキストに基づくリスク優先順位付けと連携して機能します。
セキュリティと制御の面では、顧客のVirtual Private Cloudを経由した安全なトラフィックルーティング、データの分離、暗号化、そしてソースコードデータのゼロリテンション(非保持)といった機能がすでに本日時点で完全に稼働しています。
プレビュー段階のCodeMenderは、C、C++、Go、Java、Python、Ruby、Rust、TypeScriptまたはJavaScriptといった主要なソフトウェア言語に加え、Django、Flask、React、Spring Boot、Expressといった人気のエンタープライズフレームワーク全般にわたる脆弱性のスキャンと修正に正式対応しています。
デフォルトモデルはGemini 3.5 Flashですが、Gemini 3.1 ProおよびGemini 3 Flashもプレビュー版として利用可能です。
さらに、CodeMender内で重大な欠陥を迅速に特定・検証・パッチ適用するために特別に設計された、セキュリティ特化型のモデル「Gemini 3.5 Flash Cyber」も存在します。これは現在限定アクセスのパイロットプログラムとして提供されていますが、その強力なデュアルユース(軍民両用)的性質から、Googleは提供対象を政府機関および信頼できるパートナーのみに限定しています。
このほかにも、WizがAI Threat Defense内でコードをスキャンするようCodeMenderを能動的に呼び出せる機能など、今後追加予定の機能がいくつかあります。これにより、Wizの「Green Agent」が修復プロセスを直接調整できるようになります。
最後に、Googleは今後、堅牢なユーザー登録・ID管理機能、高度な可観測性(オブザーバビリティ)と監査ログ、そしてデータのローカライズされた保存場所を制御する機能など、企業向けの高度なガバナンス機能を展開していく計画です。
画像提供: Koshiro K / Mijansk786 / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/google-codemender-available-ai/
