Google CodeMender：Gemini 驅動的 AI 安全代理，正在改變漏洞修補方式

典型的自動修補流程包括：

• 掃描整個程式碼庫尋找潛在漏洞
• 分析漏洞的根本原因
• 生成可能的修補方案
• 透過自動分析或測試驗證修補結果
• 在部署前提交給人類工程師審查

除了修補單一漏洞外，CodeMender 還能進行 「主動式強化（proactive hardening）」。也就是說，它會重新編寫相關程式碼，嘗試消除整個漏洞類型，而不是只修補某個單一 bug。

這種方法的目標是從架構層面降低未來漏洞出現的機率。

早期測試：已提交 72 個開源安全修補

在內部測試與研究部署期間，CodeMender 已經展示了一些實際成果。

根據公開資料，在 六個月測試期 內，該系統向多個開源專案提交了 72 個安全修補程式，其中一些專案的程式碼規模高達數百萬行。

這顯示 AI 已經能夠在一定程度上參與真實軟體專案的安全維護，而不只是理論研究。

Google 在 I/O 2026 也表示，正在讓更多開發者與企業測試 CodeMender，並逐步擴大使用範圍。

不過目前公開資料仍然有限，外界仍缺乏長期的生產環境績效數據。

AI 也在守護開源軟體

CodeMender 的一個重要應用場景是 開源軟體安全。

今天許多商業產品都依賴開源函式庫，但這些專案往往由小型團隊維護，很難及時處理大量漏洞回報。

AI 工具可以幫助：

• 自動掃描開源專案漏洞
• 生成修補程式
• 提交 patch 供維護者審核

Google 已表示，像 CodeMender 這類工具將會配合業界合作計畫，例如 Linux Foundation 的開源安全倡議，以強化整個開源生態系的安全性。

AI 網路安全競賽正在升溫

CodeMender 的推出，也反映出 AI 產業正在進入 「AI 網路安全競賽」。

例如 Anthropic 最近推出的 Claude Mythos Preview，就是一個專門用於發現軟體漏洞的 AI 模型。不過由於潛在濫用風險，Anthropic 只向少數合作夥伴開放使用。

Google 的策略則有所不同：

• 產品化路線：將 CodeMender 直接整合到 Google Cloud 的企業平台
• 工作流程整合：把 AI 視為開發流程中的安全代理，而非單一大型模型

兩家公司採取不同路線，但目標相同：讓 AI 能夠自動分析整個程式碼庫並協助修補漏洞。

為什麼 AI 安全代理變得重要

AI 正在大幅增加軟體產量。越多 AI 生成的程式碼，也可能意味著 更多潛在漏洞。

安全研究人員普遍認為，如果漏洞檢測與修補工具沒有同步進化，安全風險將會快速增加。

像 CodeMender 這樣的 AI 安全代理，目標是自動化傳統需要大量人工審查的工作，從而縮短「漏洞被發現到修補發布」之間的時間。

目前這項技術仍處於早期階段，也沒有足夠公開資料能證明 CodeMender 在漏洞發現或修補品質上是否優於其他系統，例如 Claude Mythos。

但可以確定的是：AI 的下一個戰場，不只是寫程式，而是 保護整個軟體世界的安全基礎設施。