Google Cloud a profité de son Security Summit, le 4 novembre 2026, pour livrer une série de contrôles destinés aux entreprises qui confient déjà à des agents d'IA l'écriture de code et l'accès à leurs systèmes internes. Présentées par Sandra Joyce, vice-présidente de Google Threat Intelligence, les annonces couvrent trois chantiers : vérifier le code produit par les agents, limiter ce que les agents déployés peuvent atteindre et automatiser une partie du travail des centres de supervision de sécurité.
Le changement le plus tangible concerne CodeMender, l'agent autonome de sécurité du code de Google, en préversion depuis juillet. D'après sa documentation, CodeMender encadre un modèle de langage avec un harnais conçu à partir de consignes, de compétences et d'une logique d'orchestration signées Google DeepMind : il repère une faille, tente de l'exploiter pour s'assurer qu'elle est réelle, puis propose un correctif déjà testé. La nouvelle version mène cette vérification et la simulation d'attaque dans un bac à sable au niveau du système d'exploitation ou dans une machine virtuelle isolée, au choix du client, et réclame l'accord d'une personne avant toute écriture de fichier ou exécution de commande sur le poste local. Les équipes peuvent aussi restreindre l'analyse à un dossier, à un dépôt entier ou aux seuls fichiers modifiés depuis le passage précédent, ce que Google présente comme un levier sur la durée et le coût.
Google affirme que des centaines de clients ont déjà utilisé la préversion. L'entreprise cite Wiz, la société de sécurité qu'elle possède, qui s'est servie de Gemini 4 Argon parmi d'autres modèles pour découvrir et aider à corriger les failles critiques de PHP rendues publiques en octobre, ainsi que Thales, selon qui une première évaluation laisse entrevoir une baisse de plus de 95 % du temps nécessaire pour trouver une vulnérabilité. Ces chiffres émanent de Google et de ses clients ; aucune mesure indépendante n'a été publiée. La documentation rappelle en outre que CodeMender reste une offre en phase de préversion, réservée à un petit nombre de clients et, selon ses conditions actuelles, non destinée à la production.
Le deuxième volet vise les agents une fois mis en service. Auth Manager, brique du service Agent Identity, est désormais disponible pour tous. Il conserve les identifiants dans un coffre géré par Google et piloté par IAM, prend en charge les échanges OAuth 2.0 et PKCE et renouvelle les jetons délégués par les utilisateurs, afin qu'un agent puisse agir pour le compte d'une personne sans secret permanent. En préversion, Agent Identity sait aussi émettre des jetons OIDC standard au format JWT, grâce auxquels un agent peut s'authentifier auprès d'AWS, d'Azure, de services sur site et de serveurs MCP sans clé d'API fixe.
Les autres ajouts sont plus modestes. Les règles de VPC Service Controls peuvent maintenant s'appuyer sur des rôles IAM, avec Workload Identity Federation pour GKE en préversion. Model Armor reçoit, également en préversion, un détecteur de sujets personnalisé qui signale les conversations sortant du périmètre autorisé, pensé pour des secteurs réglementés comme la santé ou l'assurance. Cloud NGFW intègre un bac à sable antimalware fondé sur WildFire de Palo Alto Networks, et Cloud Armor obtient des règles gérées, en préversion, nourries par les données de menaces de Thales Imperva.
Wiz tient une place de choix dans l'ensemble. Google a annoncé en préversion Wiz AI SAST, un outil d'analyse statique qui raisonne à la manière d'un agent pour traquer les failles de logique métier et transmet les correctifs à CodeMender, ainsi qu'un modèle de données commun à Wiz Defend et Google Security Operations. Selon Google, Scan for Good, initiative menée par Google DeepMind et Wiz, a aidé dès son premier mois plus de 50 organismes de service public et opérateurs d'infrastructures critiques à repérer des expositions.
Ce sommet intervient après le lancement, le 22 octobre, d'Agent Compute Engine, le service de microVM de Google pour les agents, et en complète le volet identité et politiques. Google n'a communiqué ni tarifs pour ces nouveautés ni date de sortie de préversion pour CodeMender.