政府・提携先に限定提供、脆弱性対策特化のGemini 3.5 Flash Cyber

「Gemini 3.5 Flash Cyber」は、脆弱性の発見・検証・修正に特化した専用AIモデル

　ソフトの弱点を、AIが人より速く見つけて直す。Googleは7月22日(日本時間)、セキュリティに特化した新AIモデル「Gemini 3.5 Flash Cyber」を発表した。脆弱性(ソフトの安全上の欠陥)を探して修正する用途に絞ったモデルで、すでにChromeやAndroid、YouTubeなど自社製品の防御に使われている。ただし悪用の懸念から、当面は誰でも使えるわけではない。

　Gemini 3.5 Flash Cyberは、汎用モデルの「Gemini 3.5 Flash」を土台に、脆弱性の発見・検証・修正へ特化させた専用モデルである。単体で使うのではなく、Googleの防御用AIエージェント(自律的に作業を進めるAI)「CodeMender」に組み込んで動く。CodeMenderは、3.5 Flash Cyberを1件の報告につき最大5回呼び出し、膨大なコードの経路を手分けして調べる。安く速いモデルほど何度も走らせられるため、大きなコード群でも見落としが減るという仕組みだ。

　実力はベンチマークにも表れている。複雑なJavaScript処理エンジン「V8」で試したところ、確認できた固有の脆弱性は55件で、土台の3.5 Flashの47件を上回った。脆弱性検証のベンチマーク「CyberGym」でも、CodeMenderと組み合わせることで、より大型のモデルに匹敵する結果を示したとする。ChromeやSafariといった巨大なコード群を対象にした社内評価でも、3.5 Flashや上位の「Gemini 3.6 Flash」を明確に上回った。

3.5 Flash CyberはCodeMenderと組み合わせ、脆弱性検証のベンチマーク「CyberGym」で大型モデルに匹敵する結果を示した

　効果は実務でも出ている。Googleのクラウド脆弱性調査チームは、このモデルを使ってわずか2時間で、公開APIに潜むリモートコード実行(遠隔で任意のプログラムを走らせる攻撃)の脆弱性や、重要な本番サービスのメモリ破壊の欠陥を見つけ出した。速く安いモデルだからこそ、頻繁なスキャンや公開直前の点検にも組み込みやすいという。

　もっとも、この能力は諸刃の剣でもある。攻撃側に渡れば同じ力が悪用されかねないため、Googleは3.5 Flash Cyberを、当面は政府機関や信頼できる提携先に限ってCodeMender経由で提供する限定プログラムとする方針だ。対象を今後どこまで、いつ広げるかは明らかにしていない。一方で、脆弱性を見つけて直すCodeMenderの基本機能自体は、一般提供中のGeminiモデルを通じて法人向けにも展開されるという。