CodeMender ya no prueba sus ataques a campo abierto. Google Cloud presentó el 5 de noviembre, en su Security Summit, la nueva jaula para este agente de código y para los agentes de IA de su nube: verificación de fallos y simulación de explotación en un entorno aislado, con una persona aprobando cada escritura y cada comando.
El anuncio llegó con paquete completo. Auth Manager, la bóveda que guarda las credenciales de los agentes, quedó disponible de forma general. El soporte de identidad con tokens JWT (JSON Web Token) entró en vista previa: un agente puede presentarse en AWS, Azure, servidores locales y servidores MCP (Model Context Protocol, el protocolo que conecta agentes con herramientas externas) sin claves fijas de larga vida.
CodeMender trabaja como agente autónomo de seguridad de código. Busca vulnerabilidades, confirma si se pueden explotar y prepara parches probados antes de que otra persona los aproveche. Opera con varios modelos, entre ellos Gemini 4 Argon, y Google Cloud afirma que puede dar con fallos que nadie había documentado. Su vista previa abrió en julio y, de acuerdo con la compañía, cientos de clientes ya lo han usado.
La novedad práctica está en el control del escaneo. Una empresa puede apuntar el análisis a una carpeta concreta, al repositorio entero o solo a los archivos cambiados desde la revisión anterior. Esa elección mueve el costo y el tiempo de cada pasada.
Wiz aportó el caso que Google Cloud usa como vitrina. Con Gemini 4 Argon y otros modelos, el equipo de Wiz identificó y ayudó a corregir vulnerabilidades centrales de PHP que afectaban al 70 % de los sitios web. El modelo colaboró en cuatro pasos concretos: localizar el fallo, trazar una ruta probable de explotación, detectar ataques y validar el parche.
El mercado explica la prisa. IDC (International Data Corporation) calculó que cerca del 40 % de las empresas suman vulnerabilidades más rápido de lo que las corrigen. Ivan Fontarensky, directivo de tecnología de Thales Group, contó que su evaluación temprana apunta a recortar en más de un 95 % el tiempo de descubrimiento de fallos, con supervisión de especialistas.
La credencial del agente sale del archivo y entra en una bóveda
Auth Manager centraliza las credenciales dentro de una bóveda administrada por Google y regida por IAM (Identity and Access Management, la gestión de identidades y accesos). El servicio automatiza los flujos de OAuth 2.0 con PKCE (Proof Key for Code Exchange) y refresca los tokens delegados por cada usuario. Traducido a oficina: menos pantallas de consentimiento repetidas y menos credenciales robables guardadas en texto plano.
El soporte JWT de Agent Identity emite tokens OIDC (OpenID Connect) estándar y de corta vida. Un agente puede autenticarse así en nubes rivales o en equipos propios sin arrastrar una clave API estática durante meses. El eslabón débil de muchos despliegues no es el modelo: es la credencial con permisos de sobra que alguien pegó en un archivo en marzo y nadie rotó.
Esa velocidad tiene espejo en el bando contrario. Esta semana quedó documentado cómo un agente de IA pasó de buscar claves expuestas en GitHub a extraer datos de Azure Key Vault en cinco minutos, en un ataque real observado por Microsoft Threat Intelligence. La diferencia con la propuesta de Google Cloud no es la autonomía; es el perímetro que rodea al agente al moverse.
El paquete suma controles de red y de contenido. Las reglas de entrada y salida de VPC Service Controls ya aceptan roles de IAM de forma general, y la federación de identidad para GKE (Google Kubernetes Engine) entró en vista previa. Model Armor estrenó un detector de temas personalizado, también en vista previa, pensado para salud, seguros y comercio minorista.
Wiz y Google comparten tablero para cazar rutas de ataque
Wiz AI SAST, la revisión de código de Wiz, entró en vista previa con razonamiento de agente: entiende cómo se comporta una aplicación y busca fallos de lógica de negocio que un escáner de patrones no ve. Sus hallazgos se cruzan con el contexto de infraestructura en el Wiz Security Graph, y las rutas de ataque explotables pasan a corrección con Green Agent y con el propio CodeMender.
Wiz Defend y Google Security Operations trabajan ahora desde un modelo de datos compartido, con sincronización en los dos sentidos. Un analista puede investigar la misma amenaza en cualquiera de los dos paneles y recibir en Wiz Defend la inteligencia de amenazas de Google. Los agentes defensivos cruzan telemetría de varios proveedores en fracciones de segundo y dejan las acciones de mitigación listas para la firma de una persona.
La capa de red recibió su parte. El entorno aislado de análisis de malware de Cloud NGFW, apoyado en WildFire de Palo Alto Networks, quedó disponible de forma general. Cloud Armor suma reglas administradas en vista previa, alimentadas por la inteligencia de Thales Imperva, que revisa 1,5 billones de solicitudes web al mes.
Scan for Good pone la cifra social del anuncio. La iniciativa conjunta de Google DeepMind y Wiz llevó esta tecnología, con investigadores humanos al lado, a organizaciones con pocos recursos. En su primer mes, Argon ayudó a más de 50 organizaciones de servicios públicos y de infraestructura crítica a corregir exposiciones graves. CodeMender, la pieza central, sigue en vista previa: Google Cloud no anunció fecha para su disponibilidad general.
Fuente: Google Cloud
