米グーグルは10月28日（米国時間）、自社で最も高性能とする新しいAIモデル「Gemini（ジェミニ）4 Carbon（カーボン）」を発表した。ソフトウェアの欠陥（脆弱性）を見つけ、実際に悪用できるかを確かめ、修正するという一連のサイバー防御の作業で、外部のベンチマーク（性能評価の試験）の最高水準の成績を挙げたとしている。攻撃にも転用できる能力を持つため、提供はまず一部のサイバー防御の担当者に限り、開発者や企業、一般の利用者への公開は安全対策を詰めてからとした。時期は示していない。発表は、グーグル・ディープマインドの上級副社長で同社の最高AIアーキテクトを務めるコライ・カヴクチュオール氏の名義で、同社の公式ブログに掲載された。
脆弱性の「発見・検証・修正」の各段階で最高水準と主張
グーグルが前面に出したのはサイバーセキュリティの性能だ。防御の作業を、脆弱性の発見、悪用できるかどうかの検証、根本原因の修正という3つの段階に分け、それぞれの外部ベンチマークで成績を示した。いずれも、悪用を防ぐための安全装置（ガードレール）を外した状態で評価したと注記している。
| 段階 | ベンチマーク | Carbonの成績 |
|---|---|---|
| 発見 | SEC-bench Pro | 88.2％ |
| 検証（悪用可能性） | ExploitGym | 54.8％ |
| 修正 | CWE-bench（Collinear） | 71.0％ |
発見では、実在のソフトウェアに埋もれた複雑な欠陥を自律的に掘り起こしたとし、SEC-bench Proの88.2％を「最高水準」と位置づけた。検証の段階を設けた理由について、グーグルは、防御側がどの脆弱性から直すか、そもそも直すかを決めるため、悪用できるかの判定をAIに頼る場面が増えていると説明している。修正では、確かめた欠陥をそのまま動く修正コードに変える能力を測ったという。
社内の評価では、安全なコードを生成する成功率が前モデル「Argon（アルゴン）」の2倍超になった。同社のブラウザー「Chrome」の開発チームは、質の高い修正パッチを作る作業で、他社の大型の最先端モデルを10倍以上上回ったと報告したという。グーグル傘下のクラウドセキュリティ企業Wizも、ウェブシステムへの侵入試験のベンチマークでCarbonが首位だったとしている。これらの数値はいずれもグーグル側の公表で、第三者が同じ条件で検証したものではない。AIのサイバー攻撃能力をめぐっては、国内でも公的機関による評価が始まっている（重みが公開されたAI、攻撃コードの開発能力は「限定的」 IPAのAI安全機関が評価 16点満点の平均はGLM-5.2が2.80、Claude Opus 4.8は5.22）。
数日がかりの開発作業を続ける
もう一つの柱は、長い時間をかけて進める作業への対応だ。グーグルによると、社内のチームではCarbonが数日間にわたって作業を続け、行き詰まりを乗り越えながら、大規模なコードの中に潜む見つけにくい不具合の原因を突き止めて修正するといった、複数の手順を要する開発作業をこなしたという。
総合的な性能では、第三者機関Artificial Analysisが更新した知能指数（バージョン5.0）で59となり1位になったとしている。ウェブアプリの開発の出来を利用者の投票で比べる「WebDev Arena」では、評価値が89上がって1768となり、4位に入った。コーディング、自律的に作業を進めるエージェント的な処理、科学分野の課題、画像などを含む情報の理解でも性能を上げたと説明している。
提供はまず防御側へ 米政府の事前試験にも参加
公開の進め方について、グーグルは「慎重な手順を取る」とした。発表した週から、まず一部のサイバー防御の担当者に提供し、同社の「Fairwind（フェアウインド）プログラム」を通じて、信頼できる提携先へ順次広げる。あわせて、公開前のモデルを試験する米政府の任意の枠組みに積極的に参加していると明らかにした。利用者の意見を集めて安全装置を改良したうえで、開発者や企業、消費者向けの製品に「できるだけ早く」載せるという。
Fairwindプログラムは、高度なモデルを攻撃側より先に防御側へ渡すための仕組みだ。ディープマインドの説明では、政府や各国のサイバー当局、医療・通信・エネルギー・金融などの重要インフラの事業者、多くの利用者を抱える基盤的な技術企業を優先し、現在は世界の650を超える組織と提携している。参加組織に許されるのは、許可を得た攻撃の模擬演習、ソフトウェアの解析（リバースエンジニアリング）、マルウエアの分析など、防御と学術研究の目的に限った作業で、モデルの利用権を他者へ共有・転売することは禁じている。
2週間前の「Argon」の後継 導入期の料金は同額
Carbonは、グーグルが9月30日に発表したGemini 4 Argonの後を継ぐ。Argonも当初はFairwindプログラムの防御担当者に限って配り、10月13日に有料版のGemini APIを通じて開発者に開放した。グーグルはArgonの発表時、防御担当者と社内のチームにはサイバー分野の安全装置を外した版を提供すると説明していた。Argonの開発者向け開放から約2週間で次のモデルを出したことについて、グーグルは「最先端を押し広げる速さを示すものだ」としている。
料金は、導入期にArgonと同じ水準に置く。導入期を過ぎると、入力・出力とも2倍に上がる。
| 区分 | 導入期 | 導入期の後 |
|---|---|---|
| 入力（100万トークンあたり） | 2ドル | 4ドル |
| 出力（100万トークンあたり） | 10ドル | 20ドル |
キャッシュ（再利用）された入力は、入力料金から95％引きとする。導入期がいつまで続くかは示していない。
不正な近道を減らし、指示の「乗っ取り」を防ぐ
安全面では、Argonと同じ多層の仕組み（学習段階の対策、リアルタイムでの悪用防止、指示の乗っ取りへの耐性、推論過程の監視）を引き継いだうえで、モデルの振る舞いをさらに改善したとしている。
開発作業のベンチマーク「Terminal-Bench 4.0」では、課題を正しく解かずに通過しようとする不正の成功率を0.0％に抑え、不正を試みる割合も0.4％に下がった。社内のチームと実際にコードを書く環境では、深刻な逸脱行動の警告がほぼ8割減ったという。根拠の無い主張はArgonの約半分に減り、証拠が欠けている部分は成果物に注記するか、残る作業を一覧にして示すようにした。計画の範囲を越えて手を出す行為は26％、逆に必要な作業をしない行為は29％減ったとしている。
外部の文書などに紛れ込ませた指示でAIを操る「間接プロンプトインジェクション」への耐性を測るGray Swanのベンチマークでは、攻撃の成功率がArgonの0.7％から0.0％になり、評価したすべての攻撃を退けたと説明している。グーグルは、まず提供を受ける防御担当者の使い方を見たうえで、開発者や企業、消費者に届けるとしている。