Gemini Enterprise Agent Platform의 Google CodeMender는 원래 Google DeepMind에서 개발한 자율적인 AI 기반 보안 에이전트로, 코드베이스의 심층적인 취약점을 찾아내고 검증하며 해결합니다. Google의 자체 프로덕션 환경에서 테스트된 이 제품은 Google DeepMind에서 빌드하고 지속적으로 업데이트하는 미세 조정된 보안 하네스와 근본 원인을 분석하고, 익스플로잇 시뮬레이션을 실행하여 취약점이 실제인지 확인하고, 정확한 코드 수정을 생성하는 다양한 모델을 사용합니다.

Google AI Threat Defense는 AI 기반 공격을 능가하도록 설계된 상시 가동되는 자율형 보안 플랫폼입니다. Gemini와 같은 프런티어 모델의 추론 능력, Wiz의 컨텍스트 클라우드 위험 우선순위 지정, CodeMender의 자율 코드 수정 기능, Mandiant의 일선 사고 대응 전문성을 원활하게 통합합니다. AI Threat Defense 내에서 CodeMender는 기본 코드 보안 에이전트 역할을 하며, 실제 클라우드 노출을 개발자가 승인한 자동화된 코드베이스 패치와 직접 연결합니다.

CodeMender는 보안을 수동적인 스캔에서 능동적인 해결로 전환합니다. 팀에 오탐을 쏟아내는 기존의 정적 스캐너나 실행 로직과 컨텍스트가 부족한 독립형 모델과 달리, CodeMender는 고급 AI 모델을 미세 조정된 하네스 및 포괄적인 보안 도구 상자와 결합하여 모델 단독으로 사용할 때보다 취약점 수정 성능을 향상합니다. CodeMender를 사용하면 다음을 수행할 수 있습니다.

• 최적의 모델을 배포합니다. 비용, 속도, 심층 스캔, 코딩 성능에 맞게 최적화할 수 있는 여러 모델 중에서 선택할 수 있습니다.
• 머신 규모의 해결을 가속화합니다. 이제 개발자를 참여시키면서 수동 검증 및 패치로 인한 해결 병목 현상을 제거할 수 있습니다.
• 익스플로잇 가능성에 따라 수정사항의 우선순위를 지정합니다. 개념 증명 익스플로잇을 실행하고 시뮬레이션을 수행하여 코드의 취약점이 익스플로잇 가능한지 확인하고, 중요한 취약점을 먼저 수정하는 데 토큰의 우선순위를 지정할 수 있습니다.

기존의 정적 스캐너는 단순한 패턴 매칭에 의존하기 때문에 많은 양의 불필요한 알림과 오탐을 생성합니다. CodeMender는 복잡한 다국어 코드베이스 전반에서 유의미한 심층 스캔을 수행하는 등 다르게 작동합니다. 고급 프로그램 분석을 활용하여 제어 흐름과 데이터 경로를 추적하므로 애플리케이션의 고유한 컨텍스트, 목표, 기능을 이해하여 정적 및 모델 전용 스캔에서 놓치는 정교한 취약점을 발견할 수 있습니다.

애플리케이션 보안에서 가장 심각한 병목 현상은 오탐을 분류하는 데 소요되는 시간입니다. CodeMender는 실행 기반 검증을 통해 이 문제를 해결합니다. 에이전트는 코드 패턴을 정적으로 분석하는 대신 코드를 빌드하고 안전한 개념 증명 익스플로잇을 실행합니다. 익스플로잇에 성공하면 취약점이 익스플로잇 가능한 것으로 확인되므로 보안 실무자와 개발자는 실제 위험에 에너지와 토큰 비용을 집중할 수 있습니다.

보안 결함이 확인되면 CodeMender가 자동으로 패치를 생성하여 개발자 도구 내에서 표준 코드 차이점으로 직접 제공합니다. CodeMender는 수정 사항이 프로덕션에 즉시 사용 가능한지 확인하기 위해 LLM-as-a-judge 프레임워크를 사용하여 패치를 검증합니다. 에이전트는 수정된 코드를 자동으로 테스트하여 프로그램 동등성을 보장합니다. 즉, 패치가 애플리케이션의 의도된 동작을 변경하거나 기존 기능을 손상시키지 않고 취약점의 근본 원인을 해결합니다. 패치는 개발자가 코드베이스에 패치를 커밋하기 전에 검토하고 승인할 수 있도록 코드 차이점으로 개발자에게 제공됩니다.

지원되는 모델의 최신 목록은 문서를 확인하세요.  Gemini 3.5 Flash Cyber가 탑재된 CodeMender는 소수의 정부 및 신뢰할 수 있는 파트너에게만 제공됩니다. 향후 액세스 권한을 확대할 계획입니다.

CodeMender는 엔터프라이즈 규모의 복잡성을 처리하도록 설계되었으며, 아래에 표시된 주요 언어 생태계 전반에 걸쳐 포괄적인 지원을 제공합니다.  최신 정보는 Google 문서를 확인하세요.

• 언어: C/C++, Java, Python, TypeScript/JavaScript, Go, Rust, Ruby
• 프레임워크: 이러한 언어 내의 표준 라이브러리뿐만 아니라 일반적인 엔터프라이즈 프레임워크(예: HTML/CSS, Django, Flask, React, Spring Boot, Express)에 대한 광범위한 지원

CodeMender는 Gemini Enterprise Agent Platform에서 안전한 헤드리스 에이전트로 호스팅됩니다. 개발자는 CodeMender의 로컬 명령줄 인터페이스(CLI)와 VS Code와 같은 도구를 사용하여 스캔을 실행하고, 발견 사항을 검토하고, 익스플로잇 검증을 트리거하고, 패치를 생성하고, 세션을 관리합니다. 핵심 추론 및 조정은 클라우드에서 이루어지며, 코드 컴파일, 테스트 실행, 익스플로잇 시뮬레이션은 고객 관리형 로컬 샌드박스 또는 격리된 VM에서 실행됩니다.

예. CodeMender는 대화형 개발자 워크플로 외에도 헤드리스 에이전트로 작동할 수 있습니다. 자동화된 파이프라인의 경우 CodeMender 바이너리를 커스텀 컨테이너 내에 패키징할 수 있습니다.

Google AI Threat Defense 시스템에서 CodeMender는 Wiz와 함께 작동합니다.

• 풍부한 컨텍스트를 기반으로 한 스캔 및 우선순위 지정:  Wiz는 에이전트형 애플리케이션 보안을 조정하여 애플리케이션을 분석하고 조사 우선순위를 지정합니다. CodeMender를 호출하여 코드를 스캔하고(출시 예정), 배포 컨텍스트를 사용하여 Wiz 보안 그래프 내의 발견 항목을 보강하며, AI 침투 시험을 위해 Wiz Red Agent를 트리거하여 익스플로잇 가능성을 증명함으로써 팀이 가장 위험한 취약점에 집중할 수 있도록 합니다.
• 타겟팅된 해결:  Wiz는 해결을 관리하고 확장하는 커맨드 센터 역할을 합니다. Wiz Green Agent는 CodeMender가 보안 그래프의 애플리케이션 컨텍스트로 보강된 충실도 높은 패치를 생성하고 테스트하도록 지시하여 이 수명 주기를 조정합니다. 이 워크플로를 통해 팀은 전례 없는 속도와 정밀도로 복잡한 취약점을 해결할 수 있습니다.

물론입니다. CodeMender는 엄격한 인간 참여형(Human In The Loop) 거버넌스 모델을 적용합니다. 에이전트는 버전 제어 시스템에 패치를 자동으로 적용하거나 코드를 프로덕션 저장소에 직접 푸시하지 않습니다. 제안된 모든 패치는 로컬 코드 차이점으로 제공되며, 개발자가 수동으로 검토하고 승인한 후에만 변경사항이 저장소에 커밋됩니다.

독점 소스 코드는 완전히 비공개로 안전하게 유지됩니다. CodeMender는 엄격한 데이터 개인 정보 보호 경계를 염두에 두고 처음부터 설계되었습니다.

• 저장소 업로드 불필요:  소스 저장소를 Google Cloud에 업로드할 필요가 없습니다. CodeMender 에이전트는 로컬 머신의 CLI 클라이언트와의 보안 통신을 통해 최소한의 필수 코드 스니펫만 요청하고 처리합니다.
• 샌드박스 컴파일 및 검증:  로직이 클라이언트 측에 유지되도록 모든 코드 빌드, 테스트 실행, 익스플로잇 시뮬레이션은 전적으로 고객 관리 인프라 또는 샌드박스에서 실행되며 Google 관리 인프라에서는 실행되지 않습니다.
• 최소 데이터 보관: Google은 활성 세션 데이터 외에는 Google 측 스토리지에 소스 코드, 프롬프트, 스캔 출력 또는 패치를 보관하지 않습니다. 활성 세션 데이터는 세션 생성 후 최대 7일 동안 암호화되어 저장되므로 장기 실행되는 찾기 및 수정 스캔을 재개할 수 있습니다. 스캔 출력, 익스플로잇, 패치 코드는 클라이언트로 다시 전송되어 머신에 로컬로 저장됩니다.
• 모델 학습 없음: 독점 코드, 프롬프트, 보안 발견 사항은 Google의 파운데이션 모델을 학습시키는 데 절대 사용되지 않습니다.

Gemini Enterprise Agent Platform에서 안전하게 호스팅되는 CodeMender는 다음과 같은 엔터프라이즈 가드레일을 제공합니다.

• VPC 서비스 제어(VPC-SC):  에이전트 통신 주변에 엄격한 네트워크 경계를 설정하여 데이터 무단 반출에 대한 보호를 강화합니다.
• 안전한 트래픽 라우팅:  고객은 Google의 암호화된 비공개 백본 네트워크에서 VPC를 통해서만 모든 CLI 및 에이전트 통신을 라우팅할 수 있으므로 도청 위험을 완화할 수 있습니다.