1. 먼저 알아둘 제공 조건
Google은 2026년 10월 5일 Gemini Enterprise Agent Platform 릴리스 노트에 CodeMender 업데이트(v0.12.0)를 수정(Fixed) 항목으로 올렸습니다. CodeMender는 코드의 취약점을 찾고, 실제로 공격이 가능한지 검증하고, 코드베이스 언어에 맞는 패치를 만들어 테스트하는 에이전트입니다.
다만 제품 문서에 따르면 CodeMender는 지금 제한된 고객에게만 Public Preview로 제공됩니다. 약관상 제한된 시험과 평가 용도로만 쓸 수 있고, 상업 또는 운영(production) 목적으로는 쓸 수 없습니다. 그러니 바로 도입할 도구로 보기보다는, 코드를 고치는 에이전트에 어디까지 권한을 줄지 정할 때 참고할 사례로 읽어보세요.
2. 이번 업데이트에서 바뀐 것
릴리스 노트의 수정 항목에 따르면 cm fix 명령은 이제 고치려는 취약점 범위 밖에 있는 CI/CD 파이프라인, 정적 분석 설정, 빌드 정의, 저장소 설정 파일을 에이전트가 수정하지 못하게 막습니다(Scoped fixes).
토큰 집계도 바뀌었습니다. cm은 세션의 마지막 턴만 보고하던 방식에서 모든 턴의 토큰 사용량을 합산해 보고하는 방식으로 바뀌었고, 릴리스 노트는 이로써 cm stats와 세션 내보내기의 토큰 수가 실제 청구 사용량과 맞게 된다고 설명합니다.
또 높은 신뢰도로 취약점을 보고하기 전에 실제로 성립하는 공격 방법(exploit)을 요구해 오탐을 줄였다고 밝혔습니다. 오탐이 얼마나 줄었는지에 관한 수치는 릴리스 노트에 없습니다.
3. 설정 파일 수정을 막은 변경을 읽는 법
이번 변경이 어떤 사례 때문에 들어갔는지는 릴리스 노트에 적혀 있지 않습니다. 그래도 막은 파일 목록을 보면 방향은 짐작할 수 있습니다. 모두 코드가 어떻게 검사되고 빌드되고 배포되는지를 정하는 파일이기 때문입니다. 에이전트가 패치를 테스트까지 통과시키려 할 때, 빌드 설정을 바꾸거나 정적 분석 규칙을 느슨하게 하는 방법으로도 '통과'를 만들 수 있습니다(작성자 해석).
에이전트가 이 파일들을 고칠 수 있으면 취약점 패치 하나가 검사 기준 자체를 바꿀 수 있습니다. 제 판단으로는 CodeMender를 쓰지 않는 팀도 같은 원칙을 가져갈 만합니다. 코드 수정 에이전트에는 고칠 대상 코드의 쓰기 권한만 주고, 파이프라인·빌드·검사 설정 변경은 사람이 따로 요청하고 검토하는 작업으로 분리하세요.
이 제한을 사용자가 설정으로 풀 수 있는지, 어떤 파일을 범위 밖으로 판정하는지의 정확한 기준은 공식 문서에 적혀 있지 않아 확인하지 못했습니다.
4. 사람 확인, 샌드박스, 세션 데이터 보관
제품 문서의 약관 문구에 따르면 쓰기와 도구 실행에 대한 사람 확인(human confirmation)을 설정에서 끄면, 그 변경에 대한 책임은 고객에게 있습니다. 범위 제한은 에이전트가 손댈 수 있는 파일을 줄이고, 사람 확인은 범위 안의 쓰기와 명령 실행을 사람이 검토하게 합니다. 하나가 다른 하나를 대신하지 않으니 둘 다 켜 두는 쪽을 기본값으로 삼으세요(작성자 해석).
문서는 CodeMender가 명령을 실행하고 호스트 시스템의 파일을 직접 고칠 수 있다고 경고합니다. 기본으로는 로컬 프로세스 수준의 샌드박스 안에서 명령을 실행하고, 샌드박스를 끄거나 우회하면 격리된 VM이나 컨테이너에서 CLI를 실행하라고 안내합니다. 수정 범위 제한과 별개로 샌드박스 설정도 따로 확인하세요.
문서는 중단된 스캔을 이어서 할 수 있도록 코드 조각과 추적 상태를 포함한 세션 데이터를 Gemini Enterprise Agent Platform 저장소에 최대 7일 보관한다고 밝힙니다. 코드가 외부 저장소에 머무는 기간을 보안 검토 문서에 적어야 하는 조직이라면 이 7일을 함께 기록해두세요.
5. 비용은 세션 단위로 봅니다
토큰 집계 변경은 작아 보이지만 비용 관리와 바로 연결됩니다. 이전처럼 마지막 턴만 보고하면 여러 턴이 이어진 수정 세션에서 도구에 보이는 숫자가 실제 청구량보다 작게 나올 수 있었기 때문입니다. 공식 문서는 청구된 토큰 사용량과 비용 추이를 Cloud Billing 보고서에서 확인하라고 안내합니다. 토큰 단가는 공식 문서에서 확인하지 못했습니다.
코드 수정 에이전트의 비용은 세션 단위로 잡아보세요. 취약점 1건을 고치기까지 몇 턴이 오갔고 토큰을 얼마나 썼는지를 세션별로 기록하면, 어떤 유형의 취약점이 비용이 많이 드는지 비교할 수 있습니다.
6. 이번 주에 해볼 일
팀에서 쓰거나 도입을 검토하는 코드 수정 에이전트 하나를 골라, 저장소에서 에이전트가 쓰기 권한을 가진 경로를 적어보세요. 그 목록에 CI/CD 파이프라인, 정적 분석 설정, 빌드 정의, 저장소 설정 파일이 들어 있다면 그 경로부터 쓰기 권한을 빼거나, 바꿀 때 사람 승인을 거치게 하면 됩니다.
같은 날 지난 세션 몇 건을 열어 토큰 사용량이 마지막 턴 기준인지 세션 전체 기준인지도 확인해보세요.