구글 CodeMender: Gemini 기반 AI가 소프트웨어 보안 에이전트로 진화하다

특히 CodeMender는 단순히 하나의 버그를 고치는 데 그치지 않고, **같은 유형의 취약점이 반복되지 않도록 관련 코드 구조 자체를 수정하는 ‘선제적 하드닝(proactive hardening)’**도 시도할 수 있다.

구글 내부 테스트에서는 이 시스템이 실제로 오픈소스 프로젝트에 기여하기도 했다. 약 6개월 동안 CodeMender는 72개의 보안 패치를 자동 생성해 오픈소스 프로젝트에 제출했으며, 수백만 줄 규모의 대형 코드 저장소에서도 작동했다.

기업 사용자 대상 초기 테스트

I/O 2026 이후 구글은 CodeMender 접근 범위를 확대하고 있다. 초기에는 연구 프로젝트 형태로 사용됐지만, 이제는 Agent Platform을 통해 개발자와 일부 기업 고객에게 테스트 형태로 제공되고 있다.

다만 현재까지는 실제 운영 환경에서의 성능이나 도입 사례에 대한 공개 데이터가 많지 않다. 어떤 기업이 테스트 중인지, 실제 취약점 발견율이나 패치 품질이 어느 정도인지에 대한 정보는 아직 제한적이다.

오픈소스 보안 강화 전략

CodeMender의 중요한 목표 중 하나는 대규모 오픈소스 생태계의 보안 강화다.

현대 소프트웨어는 수많은 오픈소스 라이브러리를 기반으로 만들어지지만, 이 프로젝트들은 종종 소수의 유지관리자에 의해 관리된다. 취약점 보고가 빠르게 증가하면서 패치를 제때 처리하기 어려운 상황이 많다.

AI가 자동으로 취약점을 찾고 패치를 제안한다면 이러한 부담을 크게 줄일 수 있다. 구글은 CodeMender 같은 도구를 Linux Foundation 보안 프로그램 등 업계 협력 프로젝트와 연계해 오픈소스 보안을 강화하는 데 활용할 수 있다고 시사했다.

AI 사이버보안 경쟁: CodeMender vs Claude Mythos

CodeMender의 등장은 AI 연구소 간 사이버보안 경쟁이 본격화되고 있음을 보여준다.

대표적인 경쟁 기술이 Anthropic의 Claude Mythos Preview다. 이 모델은 취약점을 탐지하고 보안 분석을 수행할 수 있는 강력한 AI로 알려져 있지만, 악용 가능성 때문에 일부 파트너 조직에만 제한적으로 제공되고 있다.

구글의 접근 방식은 조금 다르다.

• 제품 중심 전략: CodeMender를 Google Cloud 플랫폼 안에 포함된 서비스로 제공
• 개발 파이프라인 통합: 독립 모델이 아니라 개발 워크플로에 들어가는 보안 에이전트로 설계

결국 두 회사 모두 같은 목표를 향하고 있다. AI가 전체 코드베이스를 분석하고 취약점을 대규모로 찾아 수정하는 시대가 시작되고 있다는 점이다.

왜 AI 보안 에이전트가 중요한가

최근 몇 년 동안 AI 코드 생성 도구가 확산되면서 작성되는 소프트웨어 양은 급격히 늘었다. 하지만 코드가 늘어나면 그만큼 잠재적인 취약점도 함께 증가할 가능성이 있다.

CodeMender 같은 AI 보안 에이전트는 이 문제를 해결하려는 시도다. 보안 검토와 패치 작업을 자동화해 취약점 발견부터 수정까지 걸리는 시간을 크게 줄일 수 있기 때문이다.

다만 기술은 아직 초기 단계다. 현재 공개된 정보만으로는 CodeMender가 Anthropic의 Mythos 같은 경쟁 시스템보다 취약점 탐지 능력이나 패치 품질에서 더 뛰어난지 여부를 판단하기 어렵다.

하지만 한 가지 흐름은 분명하다. 앞으로 AI의 역할은 단순히 코드를 작성하는 데서 끝나지 않는다. 전 세계 소프트웨어 인프라의 취약점을 찾고, 검증하고, 자동으로 수정하는 것이 다음 단계가 될 가능성이 크다.