米GoogleはAI時代の企業向けセキュリティ対策を発表した。脆弱性を高速に発見・修正するAIエージェント「CodeMender」の機能を拡充し、隔離環境での検証や柔軟なスキャンに対応。AIエージェントの認証管理や脅威検知も強化する。
CodeMenderに隔離検証と選択式スキャンを追加
2026年11月5日に発表された今回の施策は、開発から運用、攻撃対応までを対象とする。コード生成の加速で人間による検証が追いつかず、盲目的な開発工程が攻撃経路になる懸念を指摘し、Googleの取り組みを共有している。
中でも、プレビュー提供中のCodeMenderは、複数のAIモデルを使い、未知の脆弱性の発見から修正パッチの生成・検証までを支援するサービスだ。
今回新たに、脆弱性の検証や攻撃の模擬実行を、OSレベルのサンドボックス（※）または隔離された仮想マシン内で実施できるようにした。ローカルへの書き込みやコマンド実行には人間の確認を組み込み、自律処理の危険性を抑える。
スキャン対象もフォルダー単位、リポジトリ全体、前回からの変更ファイルに切り替えられる。処理速度とコストの調整に役立つ。
Googleによれば、7月のプレビュー開始以降、数百の顧客が利用した。仏Thalesは初期評価として、専門家による検証を維持しつつ、脆弱性の発見時間を95％超短縮できる可能性を示している。
Googleは併せて、エージェントの認証情報を集中管理する「Auth Manager」の一般提供や、会話内容を指定テーマに制限する「Model Armor」の新機能のプレビュー提供も発表した。
Wizとの連携では、コードの論理的な欠陥を検出する「Wiz AI SAST」もプレビュー段階にあるという。
※サンドボックス：外部のシステムやデータへの影響を抑えるため、プログラムの実行範囲を制限した隔離環境。未知のコードや攻撃を模擬した処理を、本番環境から切り離して試す際に使われる。
修正の迅速化に期待も、自律処理には統制が不可欠
今回の施策が示すのは、脆弱性を発見するだけでなく、修正までの時間を短縮する方向への転換だ。
AIによるコード開発が広がれば、従来の人手中心の検査だけでは未修正の問題が蓄積しかねない。発見、攻撃可能性の検証、パッチ作成を一連の工程として扱う仕組みは、開発チームの負荷軽減につながる可能性がある。
特に変更ファイルだけを検査できる機能は、更新頻度の高い開発現場で有用だろう。隔離環境も危険な検証による影響を抑える。ただし、AIが提案した修正が別の不具合を招かない保証はなく、人間による承認と導入後の動作確認は引き続き必要である。
また、Thalesが示した短縮率は初期評価に基づく見通しであり、あらゆる組織で同じ効果が実証されたわけではない。
導入効果を判断するには、誤検知率や修正の品質、運用費用を継続的に確かめる必要がある。今後は、修正速度そのものに加え、権限管理と監査可能性を両立できるかが企業の採用を左右するだろう。
関連記事:
マイクロソフト、974件のCVE対象に月例セキュリティ更新 2件は公開前から悪用
Microsoftが新セキュリティAI「MAI-Cyber-1-Flash」発表 脆弱性管理を高速・低コスト化
OpenAI発のセキュリティ診断機能「Codex Security」とは
