Google DeepMindが開発するコードセキュリティ特化のAIエージェント。新たに発見された脆弱性への即時パッチ適用と、脆弱性クラスそのものを排除する既存コードの書き換えという、受動と能動の両面からソフトウェアの安全性を高める。2025年10月の発表時点では研究プロジェクトの位置づけだったが、発表までの6ヶ月間で72件のセキュリティ修正をオープンソースプロジェクトに提供した実績を持ち、対象には450万行を超える大規模コードベースも含まれる。2026年7月にはGemini Enterprise Agent PlatformおよびAI Threat Defense経由のプレビュー提供が始まり、研究段階から実用ツールへの移行が進んでいる。
主な特徴
- 高度なプログラム解析の組み合わせ: 静的解析・動的解析・差分テスト・ファジング・SMTソルバーを併用してコードを深く理解し、症状ではなく脆弱性の根本原因を特定する
- マルチエージェント構成: 役割の異なる複数のAIエージェントが分担して動作。LLMベースの批評（critique）ツールが生成された変更を検証し、リグレッション（既存機能の破壊）を防ぐ
- 受動と能動の二面作戦: 新規に発見された脆弱性へのパッチ適用に加え、安全でないコードパターンを安全なAPIやデータ構造に書き換え、脆弱性クラス全体を先回りして排除する
- 人間によるレビューが前提: 生成されたパッチはすべて自動検証を経たうえで人間のレビューを通してから提出される。「手動承認なしにリポジトリへ変更が届くことはない」と明言されている
- 幅広い言語サポート: プレビュー版ではC/C++・Go・Java・Python・Ruby・Rust・TypeScriptなど複数言語のリポジトリをスキャンし、サンドボックス環境で概念実証エクスプロイトを構築して脆弱性を実証してからパッチを生成する
- 実績に裏付けられた能力: 発表時点で72件の修正をオープンソースにアップストリーム済み。libwebpの脆弱性（実際に攻撃に悪用された事例あり）を防ぐ-fbounds-safetyアノテーション適用などの事例が公開されている
料金
| プラン | 料金 | 主な特徴 |
|---|---|---|
| プレビュー | 未公表 | Gemini Enterprise Agent PlatformまたはAI Threat Defense経由で提供。利用条件は要問い合わせ |
料金は2026年8月時点の情報です。一般向けの料金体系は公表されていません。最新情報は公式ブログをご確認ください。
メリット・デメリット
✅ メリット
- 脆弱性の発見だけでなく、検証済みパッチの生成まで一気通貫で自動化できる
- 個別修正にとどまらず、コードの書き換えで脆弱性クラス全体を排除する能動的アプローチを持つ
- ファジングやSMTソルバーなど本格的なプログラム解析技術を利用しており、表面的なパターンマッチングではない
- すべてのパッチに人間のレビューを挟む設計で、AIによる自動変更のリスクを抑えている
- 450万行超のコードベースにも適用された実績がある
⚠️ デメリット
- 一般開発者が今すぐ使えるダウンロード可能なツールや製品ページはまだない
- プレビュー提供はGoogle Cloudのエンタープライズ向けプラットフォーム経由が中心で、個人での利用ハードルが高い
- Gemini 3.5 Flash Cyberと組み合わせた最上位版は政府機関や信頼されたパートナーに限定されている
- 料金体系が未公表で、導入コストの見積もりが立てにくい
類似サービスとの比較
| 比較項目 | CodeMender | GitHub Copilot Autofix | Snyk Code | Semgrep |
|---|---|---|---|---|
| 提供元 | Google DeepMind | GitHub | Snyk | Semgrep |
| 主なアプローチ | 解析+検証+パッチ生成の自律エージェント | コードスキャン結果へのAI修正提案 | AIベースの静的解析+修正提案 | ルールベース静的解析+AI補助 |
| 脆弱性クラスの排除 | コード書き換えで対応 | 個別修正が中心 | 個別修正が中心 | ルールで検出 |
| 提供形態 | プレビュー（エンタープライズ向け） | GitHub Advanced Security等で提供 | SaaS/IDE連携 | OSS版+商用版 |
| 一般開発者の利用 | 現時点では限定的 | 可能 | 可能 | 可能 |
こんな人におすすめ
- 大規模コードベースのセキュリティ運用を担い、脆弱性対応の自動化に関心があるセキュリティチーム
- Google CloudのAI Threat DefenseやGemini Enterprise Agent Platformをすでに利用・検討している組織
- AIエージェントによる自動パッチ生成という分野の最先端動向を追いたいセキュリティ研究者・エンジニア
- オープンソースプロジェクトのメンテナーで、AI由来のセキュリティパッチ提供の潮流を把握しておきたい人
まとめ
CodeMenderは、脆弱性の発見・実証・修正までを自律的にこなすGoogle DeepMind製のAIセキュリティエージェントである。72件のオープンソース修正という実績と、ファジングやSMTソルバーを組み合わせた本格的な解析基盤が強みで、すべてのパッチに人間のレビューを挟む慎重な設計も特徴だ。現時点では一般開発者が気軽に試せる段階にはないが、「すべてのソフトウェア開発者が使えるツールとして公開する」方針が示されており、AIによるコードセキュリティ自動化の本命として動向を追う価値がある。