Qué ha anunciado Google
Google ha descrito un cambio de escala en su seguridad: pasar de encontrar vulnerabilidades y abrir tickets a coordinar agentes que las descubren, las validan, proponen una corrección y la acercan al despliegue. La explicación, publicada el 26 de octubre por la Oficina del CISO de Google Cloud, presenta Project Fortify como un programa para conectar esas fases en un único ciclo de trabajo.
El argumento de Google es que los agentes han acelerado la búsqueda de fallos y que el cuello de botella se ha desplazado a la reparación: la demora entre saber que existe un problema y corregirlo pasa a formar parte de la exposición. La revisión humana, la fusión del cambio y la supervisión SRE siguen dentro del circuito descrito.
Del descubrimiento al despliegue
El diseño que describe Google se organiza en cuatro etapas. La primera usa varios escáneres agénticos, entre ellos PageBreak y Mantis, construidos alrededor de Gemini, para buscar vulnerabilidades en código propio y dependencias. PageBreak es el agente de Product Security orientado a aplicaciones web propias; Fortify es el programa que articula el ciclo más amplio. La segunda etapa incorpora un agente de triaje que contrasta cada hallazgo con el entorno real y separa los problemas explotables del ruido.
La tercera corresponde a la reparación. Herramientas como CodeMender analizan la causa del fallo, generan un cambio y lo validan en un entorno aislado antes de proponerlo en el flujo de desarrollo. La cuarta no la decide el modelo: un ingeniero revisa y fusiona el cambio, que después pasa por despliegues canario monitorizados por los equipos de fiabilidad. Un despliegue canario es una publicación gradual a una parte controlada de la infraestructura, útil para detectar regresiones antes de ampliar el alcance.