Trouver une faille dans un million de lignes de code, c'est déjà difficile. La corriger sans casser autre chose, encore plus. Google DeepMind s'attaque à ce problème avec CodeMender, un agent désormais intégré directement à Google Cloud Agent Platform et annoncé lors de Google I/O 2025.
Ce que fait concrètement CodeMender
CodeMender n'est pas un scanner de vulnérabilités de plus. L'agent travaille en plusieurs temps : il identifie les failles dans le code, recommande des correctifs ciblés, les teste dans un environnement sécurisé, puis peut appliquer les patches sur les systèmes dépendants — à condition qu'un humain valide l'opération finale. Ce dernier point est important : l'autonomie de l'agent reste encadrée, Google ayant visiblement choisi de garder un maillon humain dans la boucle avant tout déploiement en production.
Sous le capot, CodeMender s'appuie sur les modèles Gemini avancés combinés aux capacités d'orchestration d'Agent Platform. La plateforme permet de chaîner plusieurs agents spécialisés ; CodeMender s'inscrit dans cette logique, en se concentrant sur la couche sécurité applicative. Les clients Google Cloud y accèdent via Agent Platform, avec les protections de confidentialité habituelles du cloud Google.
Pourquoi c'est un mouvement stratégique, pas juste un outil
Ce qui distingue ce lancement d'une simple mise à jour produit, c'est l'origine de CodeMender : il vient de Google DeepMind, le laboratoire de recherche en IA du groupe. Voir un agent de recherche basculer dans l'offre cloud commerciale illustre la trajectoire que Google cherche à accélérer — transformer ses avancées en IA en produits accessibles aux équipes de développement enterprise.
La cybersécurité applicative est un terrain particulièrement propice à cette logique. Les équipes de sécurité manquent chroniquement de ressources, les délais entre détection et correction s'étirent parfois sur des semaines, et la surface d'attaque s'élargit à mesure que le code prolifère, notamment avec les assistants IA qui génèrent eux-mêmes des quantités croissantes de code. Un agent capable de boucler le cycle détection-correction de façon semi-autonome répond à un problème réel, pas à une hypothèse de laboratoire.
Google n'est pas seul sur ce terrain. Microsoft, via GitHub Advanced Security et ses intégrations Copilot, pousse également vers l'automatisation de la remédiation. Des startups comme Snyk ou Socket travaillent sur des approches similaires. Mais peu peuvent s'appuyer sur un modèle fondation aussi puissant que Gemini combiné à une infrastructure cloud intégrée. L'avantage de Google ici tient autant à l'intégration verticale qu'à la qualité du modèle.
La question du contrôle humain
Le choix de conserver une approbation humaine avant d'appliquer les patches n'est pas anodin. Automatiser entièrement la correction de failles de sécurité dans des systèmes de production représente un risque opérationnel considérable — un correctif mal appliqué peut être aussi problématique qu'une vulnérabilité non corrigée. Google joue ici la carte de la prudence, ce qui facilitera probablement l'adoption dans des secteurs réglementés comme la finance ou la santé, où les équipes de sécurité restent très attachées à la traçabilité des décisions.
Cette architecture semi-autonome pourrait aussi évoluer. À mesure que la confiance dans les agents se construit et que les mécanismes d'audit s'améliorent, le curseur entre automatisation et validation humaine sera probablement ajusté. Les premières entreprises à déployer CodeMender seront, en quelque sorte, les cobayes de ce calibrage — avec les données qui en résulteront alimentant inévitablement les prochaines versions du modèle.
CodeMender reste pour l'instant peu documenté en termes de résultats chiffrés : Google n'a pas publié de benchmarks précis sur le taux de détection ou la qualité des correctifs générés. Les équipes de sécurité qui envisagent de l'adopter devront probablement conduire leurs propres évaluations avant tout déploiement à grande échelle. Ce que Google a en revanche clairement positionné, c'est l'ambition : faire de la sécurité du code un composant natif de sa plateforme d'agents, et non une fonctionnalité périphérique greffée après coup.
