Google Cloudは、ソフトウェアの脆弱性を発見・修正するAIツール「CodeMender」に新たな制御機能を追加しました。これにより、企業は攻撃シミュレーションを隔離して実行できるほか、コードスキャンの対象をより細かく絞り込めるようになります。
今回のアップデートにより、企業はOSレベルのサンドボックスまたは隔離された仮想マシン上で、脆弱性の検証やエクスプロイトのシミュレーションを行えます。ローカルへの書き込みやコマンド実行には人間による確認も加わり、テストを定められた範囲内に収めやすくなります。
企業は、コードリポジトリ全体、特定のフォルダ、または前回のスキャン以降に変更されたファイルのみをスキャン対象に選べます。スキャンの速度とコストをより細かく管理できます。CodeMenderは引き続きプレビュー版です。
Thales GroupのCTO（サイバーセキュリティサービス担当）であるIvan Fontarensky氏は、次のように述べています。「攻撃者がマシンの速度で攻撃を仕掛けてくる中、GoogleのFairwind Programは当社のアプリケーションセキュリティが後れを取らないよう支えてくれます。CodeMenderを早期に評価したところ、専門家による検証と修正を人間の監督下に置きつつ、脆弱性の発見にかかる時間を95%以上短縮できる可能性が示されました」
エージェントとクラウドワークロード向けの新たな制御
Google Cloudは、AIエージェントが稼働する各種環境に、共通のセキュリティ制御とガバナンス制御を拡大しています。対象には、Geminiプラットフォーム、Google Kubernetes Engine（GKE）、Cloud Run、新たに登場したAgent Compute Engineが含まれます。
これらの制御は、企業がエージェントの認証情報を管理し、自社データを保護し、クラウド環境全体で脅威を検知できるよう設計されています。
一般提供が始まったAuth Managerは、IAMで管理されるGoogle運営のボールトに認証情報の管理を集約します。認可フローを処理し、ユーザーに委任されたトークンの更新も行います。
プレビュー版で提供されるAgent Identity JWTのサポートにより、エージェントは有効期間の長い静的なAPIキーに頼らずに、AWS、Azure、オンプレミスのバックエンド、Model Context Protocol（MCP）サーバーなど、さまざまなサービスで認証できるようになります。
Googleは、保護されたクラウド境界をまたぐデータ移動に対するIDベースの制御も拡充します。VPC Service Controlsのイングレス／エグレスルールは、IAMロールに対応しました（一般提供）。GKE向けのWorkload Identity Federationにも対応しています（プレビュー版）。
同じくプレビュー版のModel Armorカスタムトピック検出機能では、企業がプロンプトベースのルールを定義し、エージェントの会話が承認済みのトピックの範囲内にとどまっているかを判別できます。
ネットワークセキュリティでは、Palo Alto NetworksのWildFireを採用したCloud NGFWの高度なマルウェアサンドボックスが一般提供となりました。Googleは、Cloud NGFWのプロジェクトレベルのリソースも一般提供にします。さらに、Thales Impervaの脅威インテリジェンスを活用したCloud Armorのマネージドルールをプレビュー版として導入し、アプリケーションをエクスプロイトから守ります。
エージェントによる脅威の検知と対応の支援
Googleによると、自律型のマルチエージェント脅威への対抗策として、ワークロードの継続的な監視、脅威インテリジェンス、自動調査を組み合わせています。
継続的な監視はワークロード層で進行中の侵害を検知し、テレメトリをWiz Security Graphに取り込みます。Googleによれば、Google Threat Intelligenceのテレメトリは防御モデルに組み込まれ、自動脅威ハンティングを起動します。この自動ハンティングはプロセスツリーを再構築し、脅威をリアルタイムで隔離します。
自律型エージェントはアラートを分析し、複数ベンダーのテレメトリを横断して相関クエリを実行します。そのうえで、緩和策を提示して人間の承認を求めます。
Googleは、Mandiant Transformation Servicesも位置づけています。組織がセキュリティ運用、プロセス、従業員のスキルをこれらの技術に適応させ、侵害発生時にも事業継続性を維持するための支援策です。
マルチクラウド環境へのセキュリティ拡大
GoogleとWizは両社のセキュリティツールを統合し、コード、アプリケーション、マルチクラウドインフラ全体のリスクを組織が特定して対処できるよう支援します。
Google Threat IntelligenceのVPであるSandra Joyce氏は、次のように説明しています。「WizとGoogle Cloudは、自律型アプリケーションへの深い理解、連携したセキュリティコンテキスト、脅威インテリジェンスを組み合わせています。組織が安全にイノベーションを進め、新たな脅威に先んじられるよう支援します」
Wizは、自律型アプリケーション、エージェント、インフラを検出してマッピングします。アプリケーションの目的、能力、権限を分析し、潜在するリスクを洗い出します。Wiz Security Graphのコンテキストにより、複雑な攻撃経路やランタイムの脅威が見えやすくなり、チームは修復の優先順位を判断できます。
プレビュー版のWiz AI Static Application Security Testing（SAST）は、コードの弱点をWiz Security Graph内のインフラのコンテキストと関連付けます。チームはその結果をもとに、Green AgentとCodeMenderを使って悪用可能な攻撃経路を修正できます。
共有データモデルにより、Wiz DefendとGoogle Security Operationsが接続されました。セキュリティチームはどちらのプラットフォームでも脅威を調査でき、両者間で情報を同期できます。アナリストはGoogle Security Operations内で、Wiz Blue Agentの調査結果も確認できます。Wiz DefendはGoogle Threat Intelligenceとも統合されました。
Google DeepMindとWizは、「Scan for Good」も立ち上げました。自動化ツールと人間のセキュリティ研究者を組み合わせ、セキュリティ人材や予算に限りがある組織を支援する取り組みです。Googleによると、この取り組みではGemini 4 Argonを使い、開始から1か月で50を超える公共サービス組織や重要インフラ事業者が、重大なセキュリティ上の露出を特定し、対処できるよう支援しました。
翻訳元: https://www.helpnetsecurity.com/2026/11/05/google-cloud-ai-agents-security-controls/
