구글 클라우드는 2026년 7월 22일, 소프트웨어의 취약점을 발견하고, 실제로 악용될 수 있는지 검증하면서 동시에 수정 코드를 생성하는 AI 에이전트 “코드맨더(CodeMender)”의 프리뷰 제공을 시작했다. Gemini 엔터프라이즈 에이전트 플랫폼을 통해 제공하며, 현재는 제한된 고객만이 이용할 수 있다.
@YouTube
## 공격 코드를 실행하고, 취약점 악용 가능성을 검증
코드맨더는 구글 딥마인드(Google DeepMind)의 연구를 통해 탄생한 관리형형 코드 보안 AI 에이전트이다. 코드 베이스를 스캔하여 메모리 손상, 삽입 공격, 웹 보안상의 문제, 암호 결함, 안전하지 않은 데이터 처리 등을 탐색한다.
C/C++, Go, Java, Python, JavaScript/TypeScript, Rust, Ruby에 대응한다. 외부 보안 스캔 툴이 감지한 취약점 목록을 가져와 검증 및 수정 작업을 진행할 수도 있다.
특징은 의심스러운 코드를 지적하는 것뿐만 아니라, 사용자가 관리하는 격리된 샌드박스 내에서 개념 증명(PoC)용 공격 코드를 구축하고 실행하여 취약점이 실제로 악용 가능한지 확인하는 데 있다. 오탐(誤検知)을 줄이고, 현실적으로 위험성이 있는 문제에서 수정 우선순위를 지정할 수 있도록 한다.
**코드맨더가 취약점 수정 코드를 생성하고, 변경 내용을 차분(diff)으로 제시하는 화면**
## 수정 코드를 생성 및 테스트, 적용 전에 개발자가 확인
취약점이 검증되면, 코드맨더는 문제를 해결하는 패치를 생성하고 테스트한다. 수정 내용은 코드의 차분(diff)으로 개발자 툴에 제시되며, 기존 개발 프로세스에 통합될 수 있다.
생성된 수정이 기존 기능에 영향을 주지 않는지, LLM(Large Language Model)을 활용한 평가를 통해서도 확인한다. 기업만의 코딩 규약이나 스타일을 컨텍스트(context)로 제공할 수도 있으며, 리포지토리(repository)에 반영하기 전에는 개발자가 패치를 수동으로 확인하고 승인한다.
코드맨더는 지속적 통합/지속적 배포(CI/CD) 프로세스에 통합될 수 있으며, 경량화된 명령줄 인터페이스(CLI)를 사용하여 로컬 환경에서 실행할 수 있다. 구글 클라우드는 VPC(Virtual Private Cloud)를 통한 통신, 데이터 분리 및 암호화, 소스 코드를 유지하지 않는 제로 렉시텐스(zero-retention) 정책 등을 갖추고 있다.
## “Gemini 3.5 Flash Cyber” 탑재 버전은 정부 기관 등에서 제공
코드맨더는 Gemini 엔터프라이즈 에이전트 플랫폼을 통해 일반 제공 중인 Gemini 모델을 이용할 수 있으며, “구글 AI 위협 방어(Google AI Threat Defense)”의 핵심 구성 요소로도 도입 가능하다.
한편, 사이버 보안에 최적화된 경량 모델 “Gemini 3.5 Flash Cyber”를 탑재한 코드맨더는 먼저 일부 정부 기관이나 특정 조직 및 기업에 제공하고, 대상(対象)을 순차적으로 확대할 계획이다. 악용에도 활용될 수 있는 기술이기 때문에, 구글은 제한적인 제공 방침을 취하고 있다.
코드맨더는 2025년 10월 구글 딥마인드에서 최초 공개했으며, 개발 시작 후 6개월 동안 최대 450만 줄 규모의 오픈 소스 프로젝트에 72건의 보안 수정 사항을 제공했다. 구글 클라우드는 앞으로 이용하는 모델 선택 옵션을 확대하고, 2026년 하반기에는 제3자(third party)의 프론티어 모델(frontier model)도 추가할 예정이다.
원문 보기 | 출처: Ledge.ai