CodeMender プレビュー版の提供開始：ソフトウェアの脆弱性を検出および修正

敵対的な AI 活用による脅威がコードへの攻撃を加速させるなか、セキュリティ チームには、コードの修復を自動化し、 AI に対して AI で対抗するマシンスピードの防御策でこれらに立ち向かう必要があります。 

CodeMender は、Google のマネージド コード セキュリティ エージェントです。本日より、コード スキャンおよび修復機能をプレビュー版としてお客様に直接提供を開始します。 

CodeMender は、Gemini Enterprise Agent Platform を通じて、一般提供中のモデルを利用できるほか、Google AI Threat Defense のコア コンポーネントとして導入することもできます。 

また、CodeMender は マルチモデル アプローチに対応しており、コスト、速度、ディープスキャン性能の最適化に合わせて適切なモデルを選択できます。今年の後半には、サードパーティのフロンティア モデルの選択肢も追加する予定です。 

CodeMender は、受動的なスキャンから自動化されたコード修復への移行を支援し、ゼロデイ リスクを低減します。開発速度を損なうことなく、既存のコード セキュリティの問題を次のように検証して修復します。 

• 最適なモデルのデプロイ：コスト、速度、詳細なスキャン、コーディングのパフォーマンスに合わせて、複数のモデルから最適なものを選択できます。 

• マシンスケールでの自動修復：開発者がプロセスを把握できる状態を維持しながら、手動での検証やパッチ適用による修復のボトルネックを解消できます。 

• 悪用可能性に基づく修復の優先順位付け：概念実証（ PoC ）エクスプロイトを実行してシミュレーションを行い、コード内の脆弱性が悪用可能かどうかを検証した上で、重大な問題の修正にリソースを優先的に割り当てることができます。 

AI による脆弱性の検出と修正 

Google DeepMind の先駆的な AI 研究から生まれた CodeMender は、ボトルネックとなっていた手作業による脆弱性管理を、自律的かつ高速に処理するシステムへと変換します。開発者やセキュリティ担当者は、ソフトウェアの欠陥を自動的にスキャンし、実行可能なエクスプロイトで検証した上で、テスト済みの修正コードによって修復できます。 

「Salesforce において、信頼は最優先の価値であり、お客様のデータを保護することは、リスクの検出、検証、軽減に関する基準を常に高め続けることを意味します。 CodeMender は、検証済みの脆弱性をテスト済みの修正へ迅速につなげることで、セキュリティ ライフサイクルの重要な部分に AI を導入します。AI が脅威環境を変化させるなか、このような機能はレジリエンスを強化し、お客様が安心してイノベーションを継続できるよう支援します。」

— Iain Mulholland 氏（ Salesforce CISO ）

「CodeMender は、他の AI 対応ツールが完全に見落としていた重大な脆弱性を的確に特定しました。単に理論上の欠陥を発見するだけでなく、直接的なリスクを証明し、コア ビジネス ロジックを妨げることなく環境を保護する、検証済みの的確な修正を提供します。」

— Scott Ponte 氏（ Robinhood セキュリティ オペレーション責任者）

「CodeMender は高速かつ包括的であり、検出から修正までのプロセスを完結させるという意欲的なアプローチを備えています。これにより、チームは開発速度を落とすことなくソフトウェア サプライ チェーンの安全性を確保できます。」

— Ashwin Kannan 氏（ Palo Alto Networks CTO オフィス プリンシパル AI エンジニア）

CodeMender エージェントの仕組み 

CodeMender を支える実行基盤には、最新のエージェント スキル、セキュリティ ツール、システム プロンプトを含む Google DeepMind の研究成果を継続的に反映しています。 

セキュア バイ デザインな Agent Platform 上で動作する CodeMender は、VPC 経由の安全なトラフィック ルーティング、データの分離と暗号化、ソースコード データを保持しないゼロリテンション ポリシーなど、エンタープライズ グレードの組み込みガバナンスとセキュリティ ガードレールによって保護されています。 

エージェントとして、既存の継続的インテグレーション / 継続的デリバリー（ CI/CD ）ワークフローに組み込むことも、軽量なコマンドライン インターフェース（ CLI ）クライアントを使用してローカルの開発環境で直接実行できます。 

また、ユーザーが管理するサンドボックス内でコードをスキャンして分析するように CodeMender を設定することもできます。エージェントはコード リポジトリに接続し、VS Code や Antigravity などの開発者ツールと連携して、ファーストパーティ、オープン ソース、サードパーティのソフトウェアを安全に分析します。 

スキャン：柔軟なモデル スキャンで隠れた脆弱性を検出  

CodeMender は、主要な脆弱性クラスをスキャンし、ソフトウェア リポジトリやアプリケーション独自のコンテキスト、目的、機能を理解します。 

セキュリティ コンテキストを備えた CodeMender のハーネスは、静的解析やモデルのみのスキャンでは見落としてしまう複雑な脆弱性の発見に役立ちます。メモリ破損、インジェクション、Web セキュリティ上の問題、暗号の欠陥、安全でないデータ処理など、検出が困難な脆弱性を探索します。CodeMender は、 C/C++、Go、Java、Python、Ruby、Rust、TypeScript などの一般的なプログラミング言語をサポートしています。 

検証：エクスプロイトのシミュレーションと検証によりノイズを削減 

CodeMender は、問題を修正する前に脆弱性が現実のリスクをもたらすことを証明することで、アラート疲れや誤検知の削減に貢献します。このエージェントは、顧客が管理する隔離された顧客管理下のサンドボックス内で自身が構築、実行するエクスプロイト コードを用いて攻撃をシミュレートし、単なる静的なコード パターン分析を超えた検証を行います。

エージェントはこの概念実証（ PoC ）エクスプロイトを使用して、セキュリティ上の欠陥が現実のリスクをもたらすことを検証します。この重要な検証フェーズにより、セキュリティ担当者や開発者は誤検知を排除し、検証済みのリスクに優先的に対応できるようになります。 

修復：コード修正の自動生成とテスト 

リスクのあるセキュリティ上の欠陥を特定することは、対策の半分にすぎません。脆弱性が検証されると、CodeMender は問題を解決するための安全なパッチを自動生成します。修正内容はコードの差分（ diff ）として開発者ツールに直接提供するため、既存の開発ワークフローに組み込むことができます。 

さらに、CodeMender は、LLM-as-a-judge を使用して既存のアプリケーション機能に影響を与えないことを確認し、修正の精度をさらに高めます。また、独自のコーディング規約やスタイルのコンテキストを提供することで、それに沿ったコードを CodeMender に生成させることも可能です。コードがリポジトリにコミットされる前に、開発者が CodeMender のパッチを手動でレビューおよび承認するため、常に開発者が管理権限を維持します。 

AI Threat Defense における CodeMender 

AI Threat Defense の一部として活用する場合、Wiz はエージェント型のアプリケーション セキュリティをオーケストレートし、アプリケーションを分析して調査の優先順位付けを行います。Wiz は CodeMender を呼び出してコードをスキャンし（近日提供予定）、デプロイ コンテキストを用いて Wiz Security Graph 内の検出結果を補強します。さらに、Wiz Red Agent を起動して AI ペネトレーション テストを行い、悪用可能性を検証することで、チームが特に高リスクな脆弱性に集中できるようにします。 

Wiz は、AI Threat Defense における修復の管理とスケーリングを行うコマンド センターとして機能します。Wiz Green Agent は、Security Graph から得られるアプリケーションのコンテキストで強化された高精度なパッチの生成とテストを CodeMender に指示し、このライフサイクルを制御します。このワークフローにより、チームはこれまでにないスピードと精度で複雑な脆弱性を解消できるようになります。 

CodeMender を使い始めるには 

CodeMender は、Google のマルチモデル アプローチに沿って、コスト、速度、詳細なスキャン パフォーマンスの最適化を支援します。

Agent Platform を通じて一般提供している Google の Gemini モデルで CodeMender を利用できるほか、 AI Threat Defense のコア コンポーネントとして導入することも可能です。

Gemini 3.5 Flash Cyber を搭載した CodeMender は、一部の政府機関や特定の組織および企業向けに提供します。アクセス対象は順次拡大していく予定です。

CodeMender は、継続的かつ自律的で自己修復を行うエージェント型のソフトウェア開発ライフサイクルに向けた重要な一歩であり、本番環境へデプロイする前に、コードの安全性確保、検証、パッチ適用を自律的に実行する未来を拓くものです。 

CodeMender の詳細およびドキュメントの確認については、こちらをご覧ください。