Google CodeMender：AI 正在成为代码安全的自动化守护者

人工智能正在迅速改变软件安全的工作方式。过去，漏洞发现和补丁编写往往依赖人工审查或传统自动化工具，而在 Google I/O 2026 上，谷歌展示了一个新的方向：让 AI 直接参与修复代码本身。

谷歌发布的 CodeMender 是一个自动化安全代理（AI agent），可以在大型代码库中发现漏洞、生成修复补丁并验证修复结果。该项目最初诞生于 Google DeepMind 的研究项目，如今正被整合进 Google Cloud 的 Gemini Enterprise Agent Platform，成为面向企业开发者的实际工具。

这标志着 AI 开发工具的一次重要转变：从“帮人写代码”，走向“帮人保护代码”。

从研究项目走向云平台

CodeMender 最初是 DeepMind 的研究系统，目标是让 AI 自动发现和修复软件漏洞。到了 I/O 2026，谷歌宣布将其通过 Google Cloud Agent Platform 提供给开发者使用。

Agent Platform 是谷歌新的 AI 代理基础设施，允许企业在安全的云环境中运行和管理 AI 代理。该平台源自 Vertex AI 的演进，现在被称为 Gemini Enterprise Agent Platform，用于构建、运行和治理基于 Gemini 模型的智能代理系统。

在这个平台中，CodeMender被定位为一个 专门负责代码安全的代理。它可以扫描代码库、发现漏洞并提出修复方案，将安全修复流程直接嵌入企业的软件开发流程中。

CodeMender 如何发现并修复漏洞

CodeMender 的核心能力来自 Gemini Deep Think 模型 和工具增强的 AI 代理工作流。系统能够分析源代码、定位漏洞并生成安全补丁。

其自动化流程通常包括：

• 扫描代码库寻找潜在漏洞
• 分析并定位漏洞的根本原因
• 生成多个修复方案
• 使用自动化分析或测试验证补丁
• 在部署前提交给开发者进行人工审核

除了修复单个漏洞外，系统还可以进行 主动安全加固（proactive hardening）：通过重写相关代码，从根本上消除某一类漏洞，而不仅仅是修补一个具体 bug。

在早期内部测试中，CodeMender 已经能自动贡献安全修复。在为期六个月的测试阶段，它向多个开源项目提交了 72 个安全补丁，其中一些代码库规模达到数百万行代码。

面向企业开发者的早期测试

在 I/O 2026 上，谷歌表示正在将 CodeMender 从内部研究部署扩展到外部用户。开发者可以通过 Agent Platform 使用该系统，部分企业客户和测试者也开始进行早期试用。

不过，目前公开信息仍然有限：哪些公司在测试、在真实生产环境中的效果如何，还没有长期数据披露。

因此，CodeMender 目前仍处在 从研究成果向企业产品过渡的阶段。

目标之一：提升开源软件安全

谷歌强调，CodeMender 的一个重要目标是加强 开源生态系统的安全性。

现代软件通常依赖大量开源库，但这些项目往往由少数维护者维护。当漏洞出现时，修复速度可能跟不上使用规模。

CodeMender 通过自动发现漏洞并生成补丁，可以帮助维护者更快地处理安全问题，从而减少关键依赖库中的风险。

谷歌也在更广泛的行业合作中推动这一方向，例如参与 Linux 基金会相关的开源安全计划，并投入资金和技术来加强开源安全基础设施。

AI 网络安全竞赛正在升温

CodeMender 的发布正值 AI 实验室之间的 网络安全技术竞赛。

例如 Anthropic 发布的 Claude Mythos Preview 是一个专门用于网络安全研究的 AI 模型，可以扫描代码并识别复杂漏洞。不过，由于潜在的滥用风险，Anthropic 目前只向少数合作伙伴开放该模型。

谷歌的策略则略有不同：

• 产品化路径：CodeMender 被直接集成到 Google Cloud 的开发平台中
• 代理式工作流：它不是单独的模型，而是嵌入开发流程的安全代理

这两种思路都反映了同一个趋势：AI 正在具备 分析整个代码库并大规模修复漏洞 的能力。

为什么 AI 安全工具越来越重要

AI 编程工具正在让软件开发速度大幅提升，但这也意味着代码量迅速增长。安全研究人员担心，如果漏洞检测和修复技术没有同步升级，潜在安全问题也会随之增加。

像 CodeMender 这样的 AI 安全代理，目标就是缩短从 发现漏洞到发布补丁 的时间。

如果这些系统能够在大规模生产环境中证明可靠，它们可能会改变软件安全的基本模式——

未来的 AI 不只是写代码，还将 持续扫描、验证并修复全球软件基础设施中的安全漏洞。