Google apresenta no Cloud Security Summit sua abordagem para desenvolver e defender sistemas em velocidade de máquina na era agentic

A Google parte de uma premissa direta no Cloud Security Summit: defesa passiva não funciona mais. Segundo a empresa, ferramentas de codificação agentic aceleraram a entrega de software, mas a revisão humana não acompanha commits e dependências não verificadas. Como agentes autônomos já fazem parte da cadeia de suprimentos, a confiança cega pode transformá-los em backdoors para atacantes. A resposta inclui guardrails em tempo real na IDE, grafos de ativos unificados entre código e IAM e verificação de modelos para eliminar falhas de lógica antes do merge.

O CodeMender, agente autônomo de segurança de código, roda com vários modelos, incluindo o Gemini 4 Argon. Em preview, a verificação de vulnerabilidades e a simulação de exploits ficam isoladas em sandbox no nível do sistema operacional ou em máquina virtual, com checagens human-in-the-loop para escrita local e execução de comandos. A varredura pode cobrir uma pasta, o repositório inteiro ou só os arquivos alterados desde a última análise, o que permite ajustar velocidade e custo. A Google afirma que centenas de clientes usaram a ferramenta desde julho e que a Wiz aplicou o Gemini 4 Argon, com outros modelos, em falhas no núcleo do PHP que afetavam 70% dos sites. Os números de Thales (potencial de reduzir em mais de 95% o tempo de descoberta, em avaliação inicial) e da IDC (cerca de 40% das empresas adicionam vulnerabilidades mais rápido do que corrigem) vêm de declarações citadas pela própria Google.

O CodeMender já tinha aparecido na cobertura do CEVIU. Em 23 de julho de 2026, a matéria "Google impulsiona cibersegurança com Gemini 3.5 Flash Cyber e plataforma CodeMender" tratava do modelo leve Gemini 3.5 Flash Cyber, voltado a identificar, validar e corrigir vulnerabilidades. Agora a Google fala do CodeMender operando com o Gemini 4 Argon, com isolamento seguro e modos de varredura flexíveis em preview, e cita adoção por centenas de clientes desde julho.

Em 26 de agosto de 2026, o CEVIU noticiou "Mandiant inova com IA Agentic para Detecção Autônoma de Vulnerabilidades em Código-Fonte", sobre o AVDH, pipeline multi-agente da Mandiant. E em 2 de outubro de 2026, a matéria sobre aceleração na descoberta de vulnerabilidades apontava revelações mensais que dobraram em 2026. O contexto mostra a linha que leva ao anúncio atual.

Para quem opera AppSec, o recado é que a fila de correção, e não a detecção, vira o gargalo. A proposta da Google é juntar validação de exploitability com patch testado, mas as métricas de ganho vêm de parceiros e de avaliação inicial. Vale medir no seu próprio pipeline antes de contar com elas. Para quem governa agentes, o ponto de atenção é tratá-los como parte da cadeia de suprimentos, com identidade, credenciais e permissões sob controle.