A Google Cloud aproveitou a sua Security Summit, a 4 de novembro de 2026, para lançar um conjunto de controlos destinado a empresas que já deixam agentes de IA escrever código e aceder a sistemas internos. Os anúncios, apresentados por Sandra Joyce, vice-presidente da Google Threat Intelligence, dividem-se em três frentes: verificar o código produzido por agentes, restringir aquilo a que os agentes em funcionamento conseguem chegar e automatizar parte do trabalho dos centros de operações de segurança.
A mudança mais palpável chega ao CodeMender, o agente autónomo de segurança de código da Google, em pré-visualização desde julho. Segundo a documentação, o CodeMender envolve um modelo de linguagem numa estrutura criada com instruções, competências e lógica de orquestração da Google DeepMind: encontra uma vulnerabilidade, tenta explorá-la para confirmar que é real e propõe uma correção já testada. A nova versão faz essa verificação e a simulação do ataque dentro de uma sandbox ao nível do sistema operativo ou de uma máquina virtual isolada, à escolha do cliente, e pede a uma pessoa que aprove escritas de ficheiros e execução de comandos no computador local. As equipas podem ainda limitar a análise a uma pasta, a um repositório inteiro ou apenas aos ficheiros alterados desde a última passagem, opção que a Google apresenta como forma de controlar tempo e custos.
A Google afirma que centenas de clientes já usaram a pré-visualização. Dá como exemplo a Wiz, empresa de segurança que lhe pertence, que recorreu ao Gemini 4 Argon, a par de outros modelos, para encontrar e ajudar a corrigir as falhas graves do PHP divulgadas em outubro, e cita a Thales, segundo a qual uma avaliação inicial sugere uma redução possível superior a 95% no tempo de descoberta de vulnerabilidades. Estes números vêm da Google e dos seus clientes; não foi publicada qualquer medição independente. A documentação lembra também que o CodeMender continua a ser uma oferta anterior à disponibilidade geral, reservada a poucos clientes e, pelos termos atuais, imprópria para uso em produção.
O segundo bloco de novidades visa os agentes já implementados. O Auth Manager, parte do serviço Agent Identity, passa a estar disponível para todos. Guarda credenciais num cofre gerido pela Google e controlado pelo IAM, executa os fluxos OAuth 2.0 e PKCE e renova os tokens delegados pelos utilizadores, para que um agente possa agir em nome de alguém sem segredos de longa duração. Em pré-visualização, o Agent Identity passa também a emitir tokens OIDC normalizados em formato JWT, o que permite a um agente autenticar-se na AWS, no Azure, em serviços locais e em servidores MCP sem chaves de API fixas.
As restantes novidades têm menor alcance. As regras dos VPC Service Controls podem agora basear-se em funções do IAM, com a Workload Identity Federation para GKE em pré-visualização. O Model Armor ganha, também em pré-visualização, um detetor de temas personalizado que assinala conversas que fogem ao assunto autorizado, pensado para setores regulados como a saúde e os seguros. O Cloud NGFW acrescenta uma sandbox de malware assente no WildFire da Palo Alto Networks e o Cloud Armor recebe regras geridas, em pré-visualização, alimentadas por dados de ameaças da Thales Imperva.
A Wiz ocupa um lugar central no pacote. A Google anunciou em pré-visualização o Wiz AI SAST, uma ferramenta de análise estática que usa raciocínio de tipo agêntico para procurar falhas na lógica de negócio e entrega as correções ao CodeMender, bem como um modelo de dados partilhado entre o Wiz Defend e o Google Security Operations. Segundo a Google, o Scan for Good, iniciativa conjunta da Google DeepMind e da Wiz, ajudou mais de 50 organizações de serviço público e de infraestruturas críticas a detetar exposições logo no primeiro mês.
A cimeira surge depois de a Google ter lançado, a 22 de outubro, o Agent Compute Engine, o seu serviço de microVM para agentes, e completa o lado da identidade e das políticas dessa plataforma. A empresa não divulgou preços para as novas funções nem uma data para o CodeMender sair da pré-visualização.