Google CodeMenderとは？Gemini搭載AIがコードの脆弱性を見つけて修復する時代へ

人工知能は、ソフトウェアの脆弱性を見つけて修正する方法そのものを変えつつある。Googleは Google I/O 2026 で、その流れを加速させる新しいAIセキュリティツール 「CodeMender」 を発表した。

CodeMenderは、巨大なコードベースを自動的に分析し、脆弱性を検出・修正し、さらに修正内容を検証まで行う AIセキュリティエージェント。もともとはGoogle DeepMindの研究プロジェクトとして開発されたが、現在は Google Cloudの「Gemini Enterprise Agent Platform」 に統合され、企業向けの実用ツールとして提供される方向に進んでいる。

これは、AIの役割が「コードを書くツール」から 「コードを安全に保つシステム」 へ広がり始めていることを象徴する動きでもある。

研究プロジェクトからGoogle Cloud製品へ

CodeMenderは当初、ソフトウェアのセキュリティを自動改善するAIエージェントとしてGoogle DeepMindで研究開発されていた。

Google I/O 2026では、この技術が Google CloudのAgent Platform を通じて提供されることが発表された。これにより開発者は、Googleが管理する安全なクラウド環境内でAIエージェントを動かし、自社コードのセキュリティチェックを自動化できるようになる。

この発表は、GoogleのAI基盤の進化とも関係している。従来の Vertex AI は、現在 Gemini Enterprise Agent Platform へと拡張され、企業がGeminiモデルを使ったAIエージェントを構築・運用・管理できる統合基盤へと進化している。

CodeMenderは、そのプラットフォーム上で動作する 専門特化型のセキュリティエージェント という位置づけだ。

CodeMenderはどうやって脆弱性を修正するのか

CodeMenderの中核には Gemini Deep Thinkモデル と、複数ツールを組み合わせたエージェント型ワークフローがある。これにより、AIがコードを深く解析し、脆弱性の原因を特定して安全な修正案を生成する。

典型的な処理の流れは次の通り。

・コードベース全体をスキャンして潜在的な脆弱性を検出
・問題の根本原因を特定
・修正候補（パッチ）を生成
・自動テストや解析で修正内容を検証
・最終的に人間のレビューを経て修正を提出

さらに特徴的なのが 「プロアクティブ・ハードニング」 という考え方だ。単一のバグだけを修正するのではなく、関連するコードを書き換え、同種の脆弱性が今後発生しないよう構造的に改善する ことを目指している。

Googleの内部テストでは、CodeMenderは実際にオープンソースプロジェクトへパッチを提出するところまで自律的に実行した。

6か月のテスト期間中に、72件のセキュリティ修正パッチ が生成・提出され、その中には数百万行規模のコードベースも含まれていたという。

企業ユーザーによる初期テスト

I/O 2026では、CodeMenderの利用範囲を研究用途から拡大し、企業ユーザーや外部テスターにも提供を開始する ことが発表された。

現在は、Google CloudのAgent Platformを通じて段階的にアクセスが広がっている段階だ。

ただし、どの企業が導入しているのか、また実運用でどの程度の成果を出しているのかについては、まだ公開情報が限られている。現時点では研究結果や初期導入の報告が中心となっている。

オープンソースの安全性を強化する狙い

CodeMenderの重要な用途として期待されているのが、広く利用されているオープンソースソフトウェアのセキュリティ改善 だ。

多くのアプリケーションはオープンソースのライブラリに依存しているが、それらは少人数のメンテナが管理していることも多く、脆弱性の調査や修正が追いつかない場合がある。

CodeMenderが自動で問題を発見し、修正案を提示できれば、こうしたプロジェクトの セキュリティ負担を大きく減らす可能性 がある。

Googleはすでに、Linux Foundationのセキュリティプログラムなどを通じてオープンソース保護への資金提供や技術支援も進めており、AIツールはその戦略の一部と位置づけられている。

激化する「AIサイバーセキュリティ競争」

CodeMenderが登場した背景には、AI企業同士の激しい競争がある。

例えばAnthropicは、Claude Mythos Preview というAIモデルを公開し、ソフトウェア脆弱性の発見や防御研究に使われている。ただし、このモデルは悪用リスクを懸念して 限定されたパートナーのみが利用できる形 で提供されている。

Googleのアプローチは少し異なる。

・プロダクト化重視：CodeMenderをGoogle Cloudのサービスとして提供
・開発フロー統合：単独モデルではなく、開発パイプラインに組み込まれる「セキュリティエージェント」として設計

つまり、最先端モデルそのものを売るというより、開発者の実際のワークフローに組み込むツールとして展開する戦略 と言える。

AIは「コードを書く」だけではなくなる

AIによるコード生成が急速に普及した結果、ソフトウェアの生産量は急増している。

しかし、多くのセキュリティ研究者は「コード量が増えるほど、脆弱性も増える可能性がある」と警告している。

CodeMenderのようなAIエージェントは、この問題を解決するための新しいアプローチだ。

もし大規模に機能すれば、脆弱性発見から修正までの時間を大幅に短縮できる可能性がある。

ただし、この分野の技術はまだ初期段階だ。CodeMenderがAnthropicのClaude Mythosなどの競合システムと比べてどれほど優れているのかについては、まだ十分な公開データは存在しない。

それでも確かなのは、AIの次の進化が 「コードを書くAI」から「世界中のコードを守るAI」へ向かっている ということだ。