CodeMender z Gemini 4 Argon. Agent Google do luk w kodzie

Co Google ogłosił w sprawie CodeMender

Aktualizację opisano we wpisie Google Cloud z okazji Security Summit. Najważniejsza zmiana dotyczy modeli. CodeMender od lipca pozwala wybierać model do skanowania, a teraz Google wymienia wśród nich Gemini 4 Argon, swój flagowy model dostępny od października.

Druga zmiana dotyczy bezpieczeństwa samego agenta. Weryfikacja luk i symulacja ataku mogą działać w wybranym przez klienta sandboxie systemowym albo w izolowanej maszynie wirtualnej. Google dodało też kontrolę człowieka przy lokalnym zapisie plików i wykonywaniu poleceń. Trzecia nowość to wybór zakresu skanowania, czyli folder, całe repozytorium albo pliki zmienione od ostatniego skanu, co ma pomagać w kontrolowaniu czasu i kosztów.

Jak działa agent CodeMender

CodeMender wyrósł z projektu badawczego Google DeepMind pokazanego w październiku 2025 roku. Od lipca 2026 roku jest usługą zarządzaną w Gemini Enterprise Agent Platform. Dokumentacja opisuje jego pracę w trzech etapach, a na każdym z nich można przekazać mu kontekst aplikacji i model zagrożeń.

1. Wyszukiwanie. Model skanuje kod pod kierunkiem agenta, a alternatywnie można zaimportować listę podatności z innych skanerów.
2. Weryfikacja. Agent buduje kod i próbuje wykorzystać znalezioną lukę, aby odsiać fałszywe alarmy i ustalić priorytety.
3. Naprawa. Agent generuje i testuje poprawkę zgodną z językiem projektu.

Gemini 4 Argon w CodeMender ma ważne zastrzeżenie

Nazwa flagowego modelu nie oznacza, że każdy etap wykona właśnie on. Dokumentacja podaje, że Gemini 4 Argon ma wbudowane zabezpieczenia, które mogą blokować żądania związane z tworzeniem exploitów, czyli programów wykorzystujących lukę, oraz z weryfikacją podatności. Taka blokada uruchamia automatyczne ponowienie na Gemini 3.8 Flash Cyber, a przy braku dostępu do tego modelu na Gemini 3.8 Flash.

Klienci programu Fairwind mogą korzystać z Gemini 3.8 Flash Cyber i Gemini 4 Argon Cyber Permissive, czyli wariantu z luźniejszymi ograniczeniami. W naszej ocenie to najważniejszy szczegół dla osób porównujących wyniki. Ten sam agent może dawać różne rezultaty zależnie od tego, do jakich modeli ma dostęp dany projekt.

Co wiadomo o skuteczności

Dane o skuteczności pochodzą z deklaracji Google i jego partnerów, a nie z niezależnych testów. Google podaje, że od lipca CodeMendera użyły setki klientów. Ivan Fontarensky z Thales ocenia, że wczesne testy wskazują na potencjał skrócenia czasu wykrywania luk o ponad 95 proc., przy zachowaniu nadzoru ekspertów. To wstępna ocena jednego klienta.

Google przywołuje też luki w PHP dotyczące 70 proc. stron internetowych, przy których Wiz korzystał z Gemini 4 Argon i innych modeli. Chodzi o sprawę opisaną jako PHP2Shell. Sam wpis Google nie wymienia pozostałych uczestników odkrycia, a w październiku Wiz pracował nad nim wspólnie z firmą Calif, także z użyciem GPT-5.6 Sol. Google nie twierdzi też, że te luki znalazł CodeMender, bo pisze o użyciu modelu. Dokumentacja agenta przyznaje, że Google nie publikuje formalnych ocen skuteczności dla poszczególnych języków.

Dostępność, cena i warunki użycia

Marketingowy opis i dokumentacja rozkładają tu akcenty inaczej. Wpis Google mówi o wersji testowej, z której korzystają setki klientów. Dokumentacja dodaje, że publiczna wersja testowa jest dostępna dla ograniczonej grupy klientów przez dział sprzedaży, a usługa służy wyłącznie do ograniczonych testów i oceny. Nie wolno jej używać w celach komercyjnych ani produkcyjnych.

Na stronie cennika Gemini Enterprise Agent Platform nie znaleźliśmy pozycji CodeMender, dlatego nie podajemy kosztu w złotych. Google nie wskazuje też w sprawdzonych przez nas materiałach terminu pełnej dostępności ani regionów, w tym dostępności w Polsce.

• Kod - wolno analizować tylko własny lub autoryzowany kod oraz projekty open source na licencji zatwierdzonej przez OSI.
• Cel - wyłącznie obrona, bez nieautoryzowanych testów i ataków.
• Odpowiedzialność - wyłączenie potwierdzeń człowieka przenosi odpowiedzialność na klienta.
• Języki - domyślnie C/C++, C#, Go, Java, JavaScript, TypeScript, Kotlin, Python, Ruby, Rust i PHP.

Czym CodeMender różni się od podobnych narzędzi

Rynek agentów do bezpieczeństwa kodu szybko się zagęszcza, ale produkty mają różne zastosowania. Poniższe zestawienie opracowaliśmy na podstawie wcześniejszych materiałów dailyAI.

• CodeMender - usługa zarządzana Google Cloud, pełny cykl od wykrycia do poprawki, wersja testowa dla wybranych klientów.
• Google Mantis - otwarty zestaw narzędzi na licencji Apache 2.0, który według autorów nie jest gotowym produktem.
• GitHub AI Scan - skanowanie przy każdym pull requeście, ogólnie dostępne od 15 października 2026 roku.
• GPT-6 Cyber - model OpenAI do szukania luk i pisania exploitów, na początek dla wybranych klientów programu Daybreak Red.

Co to oznacza dla polskich firm

Dla większości polskich firm CodeMender nie jest dziś narzędziem do wdrożenia, bo warunki wersji testowej wykluczają produkcję. Kto ma już umowę z Google Cloud, może zapytać opiekuna o dostęp i zaplanować próbę na kopii repozytorium z izolowanym środowiskiem oraz bez prawdziwych danych i sekretów. Warto mierzyć liczbę potwierdzonych luk, odsetek fałszywych alarmów i poprawek przyjętych przez programistów.

Pilniejszy wniosek dotyczy tempa. Skoro agenci potrafią szybciej znajdować i potwierdzać błędy, liczy się czas od publikacji poprawki do jej wdrożenia. IDC, cytowane przez Google, szacuje, że blisko 40 proc. przedsiębiorstw dodaje podatności szybciej, niż je usuwa. Firmy bez dostępu do CodeMendera mogą zacząć od dostępnych skanerów i uporządkowania procesu aktualizacji zależności. Po przypadku PHP2Shell to rozsądniejszy pierwszy krok niż czekanie na kolejnego agenta.