Google étend le rôle de son agent de sécurité CodeMender, lequel passe de la correction autonome des vulnérabilités à un écosystème de développement d'agents plus vaste, marquant une évolution vers une sécurité des applications (AppSec) pilotée par l'IA. Quelques mois après le lancement de l'agent IA CodeMender conçu pour identifier et corriger de manière autonome les vulnérabilités logicielles, Google intègre désormais cette technologie à sa stratégie Agent Platform en pleine expansion, dévoilée lors de la conférence Google I/O 2026. Cette intégration suggère que CodeMender pourrait ne plus être un simple outil de correction autonome, mais plutôt un élément d’un écosystème plus large d’agents IA capables de gérer le développement logiciel, la sécurité, la validation et les workflows opérationnels avec une intervention humaine limitée.
« L'intégration de CodeMender dans Agent Platform, qui inclut des composants d'identité, de passerelle et d'observabilité, laisse penser que Google estime que les entreprises ne font pas ou ne feront pas confiance à la correction autonome comme solution ponctuelle, mais plutôt en tant que partie intégrante de leur infrastructure gérée », a déclaré Chris Steffen, vice-président de la recherche chez Enterprise Management Associates. « Il ne s'agit donc pas simplement d'une mise à jour de produit, mais très probablement d'un changement stratégique. »
Un agent autonome de correction des vulnérabilités
Lorsque CodeMender a été dévoilé en octobre 2025, Google DeepMind l'avait présenté comme un système autonome de correction des failles de sécurité capable de déboguer et de corriger les vulnérabilités dans d'énormes bases de code open source. Selon le fournisseur, l'agent avait déjà généré et soumis des dizaines de correctifs de sécurité pour divers projets. « Au cours des six derniers mois passés à développer CodeMender, nous avons déjà intégré 72 correctifs de sécurité à des projets open source, dont certains comptaient jusqu'à 4,5 millions de lignes de code », avait déclaré la société lors du lancement.
L'agent utiliserait des modèles de raisonnement Gemini pour analyser les vulnérabilités, générer et valider des correctifs, et tester si les corrections proposées introduisaient des régressions avant de les soumettre aux développeurs. À l'époque, cette technologie avait été principalement présentée comme une réponse à la charge croissante que représente la gestion des failles. « Les vulnérabilités logicielles sont notoirement difficiles et chronophages à détecter et à corriger pour les développeurs », avait déclaré Google. Cependant, depuis son lancement, l’entreprise n’a rien révélé sur les performances de CodeMender. « Il est encore trop tôt, et je suis sûr qu’ils publieront des données de performance à un moment donné », a avancé M. Steffen. « À l’heure actuelle, aucune donnée n’a été publiée sur les taux de faux positifs, les taux de régression ou la précision des corrections sur les bases de code propriétaires », a-t-il ajouté. Mais ce dernier pense que ces données seront bientôt disponibles, car les entreprises exigeront ces indicateurs avant d’envisager sérieusement l’adoption de la solution.
Intégration à la stratégie plus large d’Agent Platform
Avant de présenter son bilan, Google a commencé à esquisser un plan d’ensemble. Ses dernières annonces concernant Agent Platform lors de la conférence I/O 2026 indiquent que l’entreprise envisage désormais CodeMender dans une perspective opérationnelle beaucoup plus large. Google a déclaré qu'elle l’intégrait à Agent Platform, ajoutant que ces fonctionnalités seraient « bientôt disponibles » pour ses clients professionnels. « En tirant parti des capacités d'Agent Platform et des modèles Gemini avancés, CodeMender identifie de manière autonome les vulnérabilités au sein du code », a expliqué l'entreprise. Agent Platform, également appelée Gemini Enterprise Agent Platform, désigne essentiellement la pile d'infrastructure de Google destinée à la création, au déploiement, à l'orchestration, à la gouvernance et à la gestion d'agents IA autonomes dans les flux de travail d'entreprise. Interrogé sur la question de savoir si cette intégration marquait un tournant vers des pipelines de sécurité logicielle IA, M. Steffen a répondu : « Absolument, et c’est structurel, pas cosmétique. Il ne fait aucun doute que l’IA peut désormais détecter les vulnérabilités plus rapidement que les humains ne peuvent les corriger, ce qui fait d’un pipeline nativement IA une nécessité, et non un simple plus. »
Pourtant, d’importantes questions de confiance et de gouvernance subsistent. Les outils de correction autonomes pourraient introduire des réparations erronées ou des régressions si la validation ne prend pas en compte les cas limites, tandis que les entreprises pourraient encore hésiter à accorder aux agents IA un accès sans surveillance à des bases de code sensibles. L'accent mis par CodeMender sur la validation, les tests et l'orchestration des workflows lors de son lancement suggère que Google reconnaît ces préoccupations et tente peut-être désormais de positionner CodeMender non pas comme un acteur totalement indépendant, mais comme un outil étroitement contrôlé au sein de pipelines de développement d'entreprise plus vastes. Outre l’annonce de cette intégration lors de la conférence I/O, Google a réaffirmé que tout se ferait « avec l’accord des utilisateurs ». « L'ensemble de ce processus automatise le déploiement sécurisé tout en garantissant que les développeurs gardent le contrôle », a rassuré l'entreprise.