Googleは、コードをスキャンしてセキュリティ上の欠陥を検出し、それが悪用可能かどうかを検証したうえで、開発者がレビューできる修正案まで生成するAIエージェント「CodeMender」のプレビュー版を公開しました。
(出典: Google)
同社はこれを、すでにAIを活用して攻撃の高速化を図っている攻撃者への対抗策と位置づけており、防御側も同じ速度で動ける自動化技術を必要としていると主張しています。
「CodeMenderは、受動的なスキャンから自動化されたコード修復へと前進する助けとなり、ゼロデイのリスクを低減できます」とGoogleは述べています。
CodeMenderは現在、Googleの一般提供中のGeminiモデルを利用したGemini Enterprise Agent Platform経由、あるいはGoogleのAI活用型セキュリティプラットフォームであるAI Threat Defenseの一機能として利用できます。
Gemini 3.5 Flash Cyberと組み合わせた別バージョンは、少数の政府機関や信頼できるパートナーに限定して提供されており、Googleは今後段階的に提供対象を拡大していく計画です。サードパーティ製のフロンティアモデルへの対応は、年内に予定されています。
「私たちはCodeMenderの実行基盤を継続的に更新し、Google DeepMindの最新の研究成果、すなわち最新のエージェントスキル、セキュリティツール、システムプロンプトを常に反映させています」と同社は説明しています。
「セキュア・バイ・デザインを掲げるAgent Platform上で稼働するCodeMenderは、VPC経由の安全なトラフィックルーティング、データの分離と暗号化、ソースコードデータの保持ゼロなど、エンタープライズグレードの組み込み型ガバナンスとセキュリティガードレールによって保護されています」とGoogleは付け加えています。
エージェントの仕組み
CodeMenderは3つの段階で動作します。まずリポジトリをスキャンし、メモリ破損、インジェクションの欠陥、Webセキュリティの問題、暗号面の脆弱性、安全でないデータ処理など、静的解析ツールでは見逃されがちな脆弱性を検出します。対応言語はC/C++、Go、Java、Python、Ruby、Rust、TypeScriptです。
次に、検出した欠陥が対処に値するものかどうかを確認します。単なるパターン一致で判断を終わらせるのではなく、CodeMenderは概念実証（PoC）のエクスプロイトを構築し、顧客が管理するサンドボックス環境内で実行します。Googleによれば、この工程によって誤検知が大幅に減るといいます。
欠陥が確認されると、エージェントはパッチを作成し、審査役を務める別のモデルによってそのパッチをチェックします。これは、修正がアプリケーションの他の部分を壊してしまうケースを見つけ出すための工程です。パッチはコード差分（diff）として開発者に提示され、人間による承認なしにリポジトリへ変更が反映されることはありません。
AI Threat Defense内で導入された場合、CodeMenderはWizと連携し、脆弱性をデプロイ環境のコンテキストと結び付けたうえで、自動的なペネトレーションテストを実行します。
「CodeMenderは、継続的かつ自己修復型のエージェント駆動型ソフトウェア開発ライフサイクルに向けた重要な一歩です。それは、コードが本番環境に届く前に自律的に保護・検証・修正される未来を意味します」と同社は結論づけています。
翻訳元: https://www.helpnetsecurity.com/2026/07/24/google-codemender-ai-agent-code-security/
