Gemini 4 Argon ou scanner de vulnerabilidade tradicional: o que cada um resolve na sua pipeline?

Fala aí, beleza? O Google soltou o Gemini 4 Argon dizendo que ele encontra, valida e corrige falhas de segurança sem ajuda humana

Porém calma: isso não aposenta o scanner que já roda na sua pipeline 🙂

O Argon foi anunciado no blog oficial do Google em 30/09/2026 como o novo modelo de fronteira do Google DeepMind, e defesa cibernética é um dos focos declarados dele

Do outro lado tem as ferramentas de análise estática, como o CodeQL, que já estão integradas ao fluxo de muita gente e rodam sem ninguém precisar lembrar

Então bora ver o que cada um resolve de verdade e onde eles se somam (spoiler: trocar um pelo outro não faz sentido hoje 😛)

O que é o Gemini 4 Argon e como ele trabalha com o CodeMender?

O Argon é o novo modelo de fronteira do Google, e a empresa posiciona ele pra três frentes: engenharia de software de longo horizonte, trabalho corporativo com conhecimento (jurídico, finanças) e defesa cibernética

No lado de segurança, o Google afirma que o Argon localiza vulnerabilidades críticas, valida essas falhas e gera a correção de forma autônoma

E aqui entra uma divisão que confunde bastante gente: Argon e CodeMender não são a mesma coisa

Que CodeMender? É o agente de segurança de código do Google DeepMind, aquele que encontra, verifica e corrige vulnerabilidades

Pensa assim: o CodeMender é o carro (o harness, o agente que organiza o trabalho) e o Argon é o motor que roda dentro dele

Os parceiros podem rodar o Argon dentro do CodeMender, e é dessa combinação que vem a promessa de achar, validar e corrigir

Outro detalhe que pesa muuuito pra esse tipo de tarefa: o Argon tem janela de contexto de 1M de tokens e limite de saída de 1M de tokens

Pra quem vai olhar uma base de código grande inteira, isso faz diferença 😀

O que o Google diz que o Argon já fez:

• Benchmark interno de vulnerabilidades do Google: o Argon encontrou exposições variadas em bases de código complexas escritas em 20 linguagens de programação
• Benchmark interno da Wiz de pentest black-box: em sistemas web ao vivo, sem acesso ao código-fonte, o Argon superou o Gemini 3.8 Flash Cyber em descoberta de superfície de ataque, identificação de vulnerabilidades e geração de prova de conceito
• Caso Scan for Good: pelo programa, o Argon achou uma vulnerabilidade crítica que expunha dados pessoais sensíveis em software de saúde usado por hospitais, e o Google diz que modelos de fronteira anteriores não tinham pegado essa falha

Tome cuidado com um ponto: o Google não informou qual é o software hospitalar nem se a correção já saiu

E tudo isso aí em cima são afirmações do próprio Google, sem validação independente até aqui

O que um scanner tradicional como o CodeQL resolve na pipeline?

O CodeQL é o motor de análise de código criado pelo GitHub pra automatizar verificações de segurança

Os resultados aparecem como alertas de code scanning, direto no GitHub

E habilitar o CodeQL em repositórios públicos no GitHub.com é gratuito, o que já tira a desculpa de muita gente haha

Default setup ou advanced setup: qual a diferença?

No GitHub você configura o CodeQL de duas formas:

• Default setup: ele escolhe sozinho as linguagens, a suíte de queries e os eventos que disparam o scan
• Advanced setup: gera um workflow customizável que usa a github/codeql-action

Se você conhece aquele esquema de next, next e finish, o default setup é bem por aí

Já o advanced setup é pra quando você quer controlar o workflow na mão

Quais linguagens o CodeQL suporta?

C, C++, C#, Go, Java, Kotlin, JavaScript, TypeScript, Python, Ruby, Swift e Rust

Qual é o papel dele na pipeline?

O CodeQL é verificação recorrente e automatizada: roda nos eventos configurados e te devolve alertas

Ele não é um agente que sai corrigindo sozinho, e nem é essa a proposta

A força dele está justamente em ser previsível, repetível e estar sempre lá

Gemini 4 Argon x CodeQL: comparação lado a lado

Onde cada um entra na sua pipeline de segurança?

A sacada aqui é parar de pensar em um contra o outro e pensar em camadas

CodeQL como camada contínua:

É o gate básico, aquele que roda de forma automática nos eventos que disparam o scan

Em repositório público no GitHub.com sai de graça, e te dá histórico de alertas pra acompanhar ao longo do tempo

É o tipo de coisa que você quer rodando sempre, sem depender de ninguém lembrar

Argon e CodeMender como investigação profunda:

Aqui o papel é outro: ir atrás das falhas que regras e modelos anteriores não pegaram, validar se a falha é real e propor a correção

É como contratar um especialista pra sentar e destrinchar o sistema, enquanto o scanner segue fazendo a ronda de sempre

O caso do software hospitalar que o Google cita é exatamente esse tipo de achado: algo que, segundo a empresa, passou batido por modelos anteriores

Pentest black-box em sistemas ao vivo:

No benchmark interno da Wiz, o Argon foi avaliado atacando sistemas web ao vivo sem acesso ao código-fonte

Isso fica fora do alcance de uma análise estática, porque o CodeQL olha o código, não o sistema rodando

Resumindo a divisão:

• Scanner: previsibilidade, repetição e histórico de alertas
• Agente autônomo: o que exige raciocínio longo, validação e proposta de correção

E se liga: nada do que o Google anunciou descreve o Argon plugado no seu CI ou conversando com o CodeQL, então trate os dois como camadas separadas

Agentes autônomos e consumo de contexto:

Um agente que investiga código lê MUITA coisa, e é aí que entra o consumo de contexto

O Argon chega com 1M de tokens de janela, mas entender como um agente gasta esse contexto ajuda a usar qualquer ferramenta desse tipo de um jeito mais esperto

Se você já monta fluxo com agentes e vive na dúvida entre skill ou agente no Claude Code, vale olhar pra isso com carinho

Pra entender como o contexto de um agente pode ir pro lixo e uma forma de enxugar esse desperdício, este vídeo do canal mostra tudo na prática:

Quem pode usar o Gemini 4 Argon hoje e quando o acesso abre?

Hoje o lançamento é limitado a defensores cibernéticos aprovados do Fairwind Program

Que Fairwind? É o programa de acesso limitado do Google voltado à defesa cibernética, com acesso antecipado pra defensores prioritários (governos, saúde, telecomunicações) antes da disponibilidade geral

Ou seja, ainda não está disponível pro público em geral, nem pra quem assina o Google AI Ultra, nem pra usuários gratuitos do Gemini

Quando o acesso abre?

Depois da fase de testes, o acesso começa pelos clientes pagantes da API e por quem assina o Google AI Ultra

Data pública? Não tem, o Google não divulgou

E a versão sem guardrails?

O Google pretende liberar uma versão do Argon sem guardrails (limites) de cibersegurança, mas só pra defensores aprovados e equipes internas do Google

Ou seja, essa versão não é pra uso geral, nem quando o acesso abrir pra mais gente

Pra liberação ampla do modelo, o caminho que o Google descreve é outro: um conjunto de salvaguardas, que você vê logo abaixo

Quais salvaguardas o Google citou?

• Recusa de uso indevido em cyber e CBRN
• Defesa contra prompt injection indireto
• Monitoramento de desalinhamento, com raciocínio e ações monitorados e interrupção da execução quando necessário
• Sandboxes isolados

Na prática, pra maioria de nós: mantém e ajusta o scanner que você já tem enquanto o acesso não abre

Veredito: somar, não trocar

Hoje o CodeQL (ou o scanner que você já usa) segue como base obrigatória da pipeline

Ele está disponível agora, é gratuito em repositórios públicos no GitHub.com e roda de forma automática nos eventos configurados

O Argon é promissor pelos números e casos que o Google divulgou, isso é inegável

Mas são afirmações do próprio Google, sem validação independente e com acesso restrito ao Fairwind Program

Quando abrir, o papel dele é ser uma camada a mais de descoberta, validação e correção, e não o substituto do gate contínuo

Trocar o scanner pelo agente seria como demitir o porteiro porque contratou um detetive… os dois fazem coisas diferentes haha

Conclusão: próximo passo para a sua pipeline

Se o seu repositório público ainda não tem code scanning, esse é o primeiro passo: habilita o CodeQL pelo default setup ou, se quiser controle, pelo advanced setup com a github/codeql-action

Enquanto isso, fica de olho na abertura do Argon pra clientes pagantes da API e assinantes do Google AI Ultra

A ideia central cabe numa linha: scanner pra cobertura contínua, agente autônomo pra profundidade

Espero que tenha curtido o comparativo, até o próximo post! 🙂