Google हर बदलाव पर AI पहरा लगा रहा—हर महीने सैकड़ों खामियाँ रुकने का दावा

Google ने 18 सितंबर 2026 को बताया कि उसके AI एजेंट बुनियादी ढाँचे में तैनात करोड़ों पंक्तियों के कोड के हर बदलाव को जमा होने से पहले जाँचते हैं। Google Cloud की तकनीकी पोस्ट में कंपनी ने दावा किया कि यह व्यवस्था हर महीने सैकड़ों कमजोरियों को उसके कोड आधार या उत्पादन तक पहुँचने से रोक रही है।

उस 18 सितंबर 2026 के खुलासे का सत्यापित निष्कर्ष इतना ही है कि Google ने अपनी आंतरिक व्यवस्था, उसके चरण और परिचालन आँकड़े सार्वजनिक किए हैं। AI Stack Current के स्वतंत्र तकनीकी विवरण ने कार्यप्रवाह की पुष्टि की, लेकिन “सैकड़ों” वाले परिणाम को Google का आंतरिक दावा बताया—स्वतंत्र बेंचमार्क या बाहरी लेखा-परीक्षण नहीं।

पहला चरण हर बदलाव को जमा होने से पहले सीमित संदर्भ में देखता है

व्यवस्था की शुरुआत पूरे कोड भंडार के किसी बड़े, कभी-कभार होने वाले परीक्षण से नहीं होती। प्रत्येक चेक-इन को अलग बदलाव के रूप में देखा जाता है, जिससे एजेंट को हर बार पूरा कोड आधार समझने के बजाय बदले हुए हिस्से और उसके निकट संदर्भ पर ध्यान देना पड़ता है। यह जाँच उन्हीं विकास साधनों में जोड़ी गई है जहाँ नियमों, पठनीयता और अन्य गुणवत्ता शर्तों की समीक्षा होती है।

यहाँ AI एजेंट का काम संभावित सुरक्षा समस्या खोजना है, अंतिम निर्णय देना नहीं। किसी संदिग्ध रास्ते का मिलना अपने-आप यह सिद्ध नहीं करता कि हमलावर वास्तव में उस रास्ते तक पहुँच सकता है। इसी कारण शुरुआती निष्कर्ष को अलग छँटाई चरण में भेजा जाता है।

दूसरा चरण मॉडल की आशंका को कोड की संरचना पर परखता है

Google ने अपने मुक्त-स्रोत बहु-एजेंट ढाँचे Mantis को इस आंतरिक पहल के लिए स्थानीय खतरा मॉडलों से जोड़ा है। ये खतरा मॉडल अलग पड़े स्थिर दस्तावेजों तक सीमित नहीं रहते; वे जीवित कोड आधार के मेटाडेटा और पैकेजों तथा लाइब्रेरी के बीच निर्भरता दिखाने वाले कॉल-ग्राफ से संदर्भ लेते हैं। इससे जाँच केवल बदली हुई पंक्ति नहीं, उससे प्रभावित हो सकने वाले रास्तों को भी देख सकती है।

विशेष छँटाई एजेंट अमूर्त वाक्यविन्यास वृक्ष, कॉल-ग्राफ traversal और पहले से अनुक्रमित क्षेत्र-विशेष सुरक्षा नियमों के सहारे जाँचता है कि संदिग्ध रास्ता वास्तव में पहुँच योग्य है या नहीं। Google के प्रकाशित आंतरिक परिणामों में इस चरण के लिए 92 प्रतिशत से अधिक परिशुद्धता और एक मिनट से कम समय बताया गया है; स्थानीय खतरा-संदर्भ ने कुछ मामलों में गलत सकारात्मक परिणाम 3 प्रतिशत तक घटाए। सार्वजनिक विवरण इन आँकड़ों का परीक्षण-संग्रह, अलग-अलग कमजोरी श्रेणियों का वितरण या बाहरी पुनरावृत्ति उपलब्ध नहीं कराता।

जमा होने से पहले की जाँच के बाद रात की एकीकरण जाँच दूसरी सुरक्षा परत बनाती है। उसका उद्देश्य उन कमजोरियों को खोजना है जो कई अलग बदलावों के मेल से उभर सकती हैं और किसी एक चेक-इन को देखकर स्पष्ट न हों। इसलिए तात्कालिक जाँच और बाद की व्यापक जाँच एक-दूसरे की जगह नहीं लेतीं।

सुधार एजेंट प्रस्ताव बनाता है, स्वीकृति मनुष्य के पास रहती है

खामी सत्यापित होने पर अलग सुधार एजेंट स्कैन के निष्कर्ष और उस कोड अंश का उपयोग करता है जो कमजोर रास्ते के सक्रिय होने का प्रमाण देता है। वह Google के आंतरिक कोडिंग मानकों के अनुरूप संशोधन तैयार करता है, लेकिन उसे सीधे उत्पादन में नहीं भेजता। प्रस्ताव मूल बदलाव की समीक्षा प्रक्रिया में मानव निरीक्षण के लिए जाता है।

इस विभाजन का अर्थ है कि खोज, संरचनात्मक सत्यापन और सुधार एक ही मॉडल के एकल निर्णय पर निर्भर नहीं हैं। फिर भी मानव समीक्षा का होना अपने-आप पूर्ण सुरक्षा सिद्ध नहीं करता: प्रकाशित सामग्री यह नहीं बताती कि कितने प्रस्ताव स्वीकार हुए, कितने बदले गए या बाद में कितनी खामियाँ जाँच से बच निकलीं।

स्वतंत्र शोध बताता है कि स्थिर विश्लेषण अभी क्यों जरूरी है

Google की आंतरिक व्यवस्था का स्वतंत्र परीक्षण अभी प्रकाशित नहीं हुआ है। उससे अलग, 17 अगस्त 2026 को जमा arXiv शोधपत्र की प्रयोग-विधि ने AI-निर्मित Python कोड पर CodeQL और Bandit के स्थिर विश्लेषण, स्वतंत्र भाषा-मॉडल सत्यापन, MITRE ATT&CK तथा CWE संदर्भ, स्वचालित सुधार और दोबारा स्कैन को एक पाइपलाइन में परखा। यह अध्ययन Google के परिणामों की पुष्टि नहीं करता, लेकिन उसी मूल प्रश्न की जाँच करता है: क्या भाषा मॉडल का निष्कर्ष अकेले पर्याप्त है।

अध्ययन में चार Claude मॉडलों पर 26 LLMSecEval निर्देशों के साथ कुल 80 रन किए गए। शुरुआती स्थिर-विश्लेषण निष्कर्ष भी सुधार मॉडल को देने वाली संरचना ने शेष निष्कर्षों को आधार रेखा से 29 से 69 प्रतिशत तक घटाया और हर मॉडल पर केवल समृद्ध भाषा-मॉडल निष्कर्ष वाली संरचना से बेहतर रही। इसके बावजूद 15 से 22 प्रतिशत सुधारों ने कम से कम एक नया निष्कर्ष पैदा किया और निर्णयों की औसत स्थिरता लगभग 81 प्रतिशत रही।

ये परिणाम सीधे Google की प्रणाली पर लागू नहीं किए जा सकते: कोड, मॉडल, औजार और परीक्षण परिस्थितियाँ अलग थीं। उनका उपयोगी संकेत यह है कि मॉडल का नाम या उसका आत्मविश्वास सुरक्षा का पर्याप्त प्रमाण नहीं बनता; संरचनात्मक औजार, स्वतंत्र सत्यापन, दोबारा स्कैन और मानव निर्णय संयुक्त व्यवस्था का हिस्सा बने रहते हैं।

दावे की सीमा कहाँ समाप्त होती है

Google का सार्वजनिक विवरण शीर्षक के दोनों हिस्सों को कंपनी के दावे के रूप में समर्थन देता है: हर बदलाव पर जमा-पूर्व जाँच होती है और हर महीने सैकड़ों कमजोरियाँ रोकने की बात कही गई है। उपलब्ध स्वतंत्र तकनीकी रिपोर्टिंग वास्तुकला और घोषणा की पुष्टि करती है, मगर रोकी गई कमजोरियों की संख्या को अलग परीक्षण में पुनरुत्पादित नहीं करती।

अभी कमजोरी की गंभीरता का वितरण, कुल संकेतों और सही निष्कर्षों की संख्या, गलत नकारात्मक परिणाम, कोड क्षेत्रों के अनुसार प्रदर्शन तथा सुधार प्रस्तावों की स्वीकृति दर सार्वजनिक नहीं हैं। इन आँकड़ों या स्वतंत्र मूल्यांकन के बिना व्यवस्था को एक महत्वपूर्ण उत्पादन-स्तरीय प्रयोग कहा जा सकता है, पर “सैकड़ों” वाले मासिक परिणाम को स्वतंत्र रूप से सिद्ध तथ्य नहीं।

यह भी पढ़ें:

• Meta का 18 अरब USD तक समझौता—किशोरों के लिए ऐप सीमाएँ बदलेंगी
• Google Cloud का VM Extensions Manager अब सामान्य उपलब्ध—गलत बदलाव खुद लौटेगा
• AlphaGenome Atlas ने 9 अरब DNA बदलाव पहले ही आँके—नतीजा निदान नहीं