7月24日、Help Net Securityが「Google gives developers an AI bug hunter that also writes patches」と題した記事を公開した。Googleが発表したAIエージェント「CodeMender」は、コードリポジトリをスキャンして脆弱性を見つけるだけでなく、PoC（概念実証）エクスプロイトを自動生成して悪用可能性を確認し、修正パッチまで自動生成する——従来の静的解析ツールとは一線を画す「発見から修正まで一気通貫」の設計が特徴だ。
スキャン→実証→修正を一気通貫で行うAIエージェント
CodeMenderが他のセキュリティスキャナーと一線を画すのは、脆弱性の検出で止まらない点だ。多くの静的解析ツールが「問題がある可能性のあるコード」を大量に列挙するだけなのに対し、CodeMenderは以下の3段階を連続して実行する。
スキャン：リポジトリを解析し、静的ツールが見落としがちな脆弱性を検出。対象はメモリ破壊、インジェクション、Web脆弱性、暗号化の不備、安全でないデータ処理など。対応言語はC/C++、Go、Java、Python、Ruby、Rust、TypeScript。
実証：パターンマッチで終わらず、PoC（概念実証）エクスプロイトを自動生成し、顧客が管理するサンドボックス上で実際に動かして悪用可能かどうかを確認する。Googleはこのステップにより誤検知が減ると説明している。
修正：脆弱性が確認されたら、パッチを自動生成。別のモデルが「修正が別の箇所を壊していないか」を審査し、開発者にはコードdiffの形で提示される。リポジトリへの反映は必ず人間の承認を経る設計になっている。
この「実証してから直す」フローは、セキュリティ担当者が日常的に抱える「アラートが多すぎて本当にヤバいものがわからない」問題への実践的な回答と言える。
攻撃者のAI活用が背景にある
Googleがこのタイミングで開発者向けに公開した背景には、攻撃者がすでにAIを使って作業を加速させているという現状認識がある。「防御側も同じスピードで動ける自動化が必要だ」というのがGoogleの立場だ。
CodeMenderはGemini Enterprise Agent Platform経由で利用でき、一般提供中のGeminiモデルを使う形と、GoogleのセキュリティプラットフォームであるAI Threat Defenseのコンポーネントとして組み込む形の2通りが用意されている。
なお、関連：Gemini 3.5 Flash Cyberと組み合わせた別バージョンも存在するが、こちらは現時点で一部の政府機関や信頼パートナーに限定されており、今後段階的に拡大予定だという。サードパーティのフロンティアモデルへの対応も今年後半に予定されている。
セキュリティ・ガバナンスの設計
エンタープライズ利用を意識した設計として、Googleは以下を明示している。
- VPCを経由した安全なトラフィックルーティング
- データの分離と暗号化
- ソースコードデータのゼロ保持（コードがGoogleに残らない）
AI Threat Defense内にデプロイした場合、CodeMenderはクラウドセキュリティプラットフォームのWizと連携し、脆弱性をデプロイコンテキストと紐づけて自動ペネトレーションテストをトリガーする仕組みになっている。
「自己修復するSDLC」を目指す
Googleはこの取り組みを、コードが本番環境に到達する前に自律的に保護・検証・修正される開発ライフサイクルに向けた一歩と位置づけている。
CodeMenderのモデルとエージェントスキルはGoogle DeepMindの最新研究をもとに継続的に更新されるとのことで、スキャン精度は今後も変化していくと考えられる。開発者にとっては、このツールが実際にどこまで誤検知を減らせるか、そして自動生成パッチの品質がどの程度信頼できるかが、実用上の焦点になるだろう。
Googleがこうした自動修復機能をSDLC（ソフトウェア開発ライフサイクル）に組み込もうとする動きは、セキュリティを「後から差し込む工程」から「開発フローに内在するもの」へと転換しようという意図の表れとも読める。PoC生成による誤検知削減と人間承認の維持という設計は、「AIに任せすぎない」バランス感覚を意識したものであり、セキュリティエンジニアと開発者の両方にとってワークフローへの組み込みやすさが採用の鍵になりそうだ。
詳細はGoogle gives developers an AI bug hunter that also writes patchesを参照していただきたい。
