AI 生成的网络安全与软件修复概念图
发现软件漏洞、判断其是否重要以及修复其根本原因，是彼此独立的任务。谷歌正将 Gemini 4 Carbon 定位为覆盖这一整个流程——并在初期限制谁可以使用它。
Carbon 于 10 月 28 日发布，是谷歌最新的前沿模型。该公司表示，与两周前推出的 Gemini 4 Argon 相比，它改进了编码、网络安全和长时间运行的智能体工作流。
能力与访问权限的推进节奏不同
谷歌报告称，其在 SEC-bench Pro 上得分 88.2%、ExploitGym 上得分 54.8%、CWE-bench 上得分 71.0%，分别覆盖漏洞发现、漏洞利用和修补。公告指出，这些外部基准评估是在未启用护栏的情况下进行的。
这些结果描述的是特定评估条件下的性能表现。它们并不证明在客户的软件环境中也能达到相同的成功率。
从本周开始，谷歌计划向一部分网络防御人员提供 Carbon，并通过其 Fairwind Program 逐步将访问权限扩展到可信合作伙伴。面向开发者、企业和消费者的更广泛开放仍将后续推出。
真正的考验在于修复是否经过验证
对 AIYXL 而言，有实际意义的部署问题是：模型能否在整个修复流程中保留证据。
一份有说服力的漏洞报告应识别受影响的代码，并说明触发该缺陷所需的条件。拟议的补丁应解决该根本原因、保留预期行为，并通过相关测试。只有当团队能够判断哪些发现值得采取行动时，产出更多发现才有帮助。
在持续性的自主工作中，这一区别尤为重要。模型可能在许多步骤中取得进展，却在流程早期引入错误假设。可审查的中间结果让工程师能够发现这种偏离。
因此，Carbon 的发布带来两个值得关注的问题：其宣称的能力如何转化为经过验证的安全工作，以及谷歌在最初受限部署之后将如何扩大访问范围。