Google DeepMind ogłosił 28 października 2026 r. Gemini 4 Carbon — model frontierowy wydany zaledwie dwa tygodnie po Argonie. Carbon zajął pierwsze miejsce w indeksie Artificial Analysis Intelligence Index v5.0 z wynikiem 59 punktów i ustanowił nowe rekordy w trzech benchmarkach cyberbezpieczeństwa. Dostępu nie ma jednak ani dla deweloperów, ani dla firm — na razie model trafia wyłącznie do wąskiej grupy zespołów zajmujących się obroną przed atakami.
Najważniejsze w skrócie
- SEC-bench Pro 88,2%, ExploitGym 54,8%, CWE-bench 71,0% — trzy rekordy w cyklu obrony
- Gray Swan IPI Benchmark: 0,0% skutecznych prompt injection wobec 0,7% u Argona i 8,5% u GPT-6 Astra
- Terminal-Bench 4.0: udane obejścia zadania zbite do 0,0%, same próby do 0,4%
- Alerty o wysokiej wadze misalignment w wewnętrznych środowiskach kodowania spadły o blisko 80%
- Cena wprowadzająca 2 USD za milion tokenów wejściowych (ok. 7,30 zł) i 10 USD za wyjściowe
Od czego się to zaczyna
Zespół bezpieczeństwa odpowiada za bibliotekę napisaną w C, z której korzysta kilkaset usług w firmie. Kod ma kilkanaście lat i kilkaset tysięcy linii — to przykład redakcyjny, Google nie opisuje konkretnego wdrożenia. Klasyczny skaner zgłasza 300 ostrzeżeń tygodniowo, z czego realnym zagrożeniem jest może pięć.
Problem nie polega na znalezieniu czegoś podejrzanego. Polega na trzech kolejnych pytaniach: czy to naprawdę luka, czy da się ją wykorzystać i jak ją załatać bez psucia reszty.
Każde z tych trzech pytań to dziś osobne narzędzie, osobny zespół i osobny tydzień pracy.
Gemini 4 Carbon jest zbudowany tak, by odpowiadać na wszystkie trzy — i dokładnie trzema benchmarkami odpowiadającymi tym etapom Google mierzy jego przewagę.
Co dokładnie ogłosił Google?
Carbon to bezpośrednie rozwinięcie Gemini 4 Argon, który trafił na rynek dwa tygodnie wcześniej. Koray Kavukcuoglu, SVP Google DeepMind i Chief AI Architect w Google, opisuje go jako najmocniejszy model firmy.
W indeksie Artificial Analysis Intelligence Index v5.0 — zagregowanym rankingu łączącym wyniki wielu testów w jedną liczbę — Carbon zajął pierwsze miejsce z wynikiem 59, przed Claude Opus 5.5 i GPT-6 Astra.
Poza bezpieczeństwem największy pojedynczy skok dotyczy web developmentu: +89 punktów elo?elo: punktowa miara siły w rankingu porównawczym, przeniesiona z szachów — wyższy wynik oznacza więcej wygranych pojedynków z innymi modelami na WebDev Arena i czwarte miejsce z wynikiem 1768. Wewnętrzne zespoły Google raportują, że Carbon potrafi pracować nad jednym zadaniem inżynieryjnym przez wiele dni, przechodząc przez ślepe uliczki zamiast przerywać.
Ryan Whitwam, senior technology reporter w Ars Technica, czyta te same liczby ostrożniej: Carbon bije Argona w każdym teście, ale niewielkim marginesem, a wszystkie modele frontierowe mieszczą się dziś w podobnym przedziale punktowym.
Jak wygląda ten cykl obrony?
To uproszczony przebieg oparty na trzech benchmarkach podanych przez Google, a nie opis gotowego produktu dostępnego na rynku.
Co znaczą te nazwy?
W ogłoszeniu pojawia się pięć pojęć, bez których liczby niewiele mówią.
- SEC-bench Pro — test sprawdzający, czy model samodzielnie znajdzie prawdziwą podatność ukrytą w działającym oprogramowaniu. Odpowiednik egzaminu praktycznego, nie testu wiedzy. Carbon: 88,2%.
- ExploitGym — test sprawdzający, czy ze znalezionej luki da się zbudować działający exploit?exploit: program lub spreparowane dane, które wykorzystują lukę w kodzie, żeby wymusić na nim niezamierzone zachowanie, czyli czy jest realnie groźna. Carbon: 54,8%.
- CWE-bench — benchmark firmy Collinear mierzący, czy model potrafi zamienić potwierdzone znalezisko w działającą poprawkę kodu. Carbon: 71,0%.
- **Prompt injection** — atak polegający na ukryciu polecenia w danych, które model przetwarza, tak by wykonał je zamiast polecenia użytkownika. Można to porównać do SQL injection, tylko że celem jest model, a nie baza danych.
- Misalignment — sytuacja, w której model realizuje zadanie niezgodnie z intencją zlecającego, na przykład obchodząc test zamiast naprawiać kod.
Tych pięć pojęć układa się w jedną całość: pierwsze trzy mierzą, ile pracy obronnej model wykona, dwa ostatnie — czy można mu przy tej pracy ufać.
Dlaczego nie wystarczy zwykły skaner podatności?
Typowy pipeline bezpieczeństwa opiera się dziś na analizie statycznej?analizie statycznej: badaniu kodu bez jego uruchamiania, wyłącznie na podstawie treści plików źródłowych i regułach. Skaner dopasowuje wzorce do kodu i zgłasza wszystko, co pasuje. Działa szybko i tanio, ale nie rozumie kontekstu — nie wie, czy podejrzana linia jest w ogóle osiągalna z zewnątrz ani czy dane wejściowe są wcześniej walidowane.
Skutkiem jest zalew fałszywych alarmów. Zespół bezpieczeństwa spędza większość czasu nie na naprawianiu, lecz na odsiewaniu.
Model językowy wchodzi w rolę, której skaner nie pełni: czyta kod jak człowiek, śledzi ścieżkę danych i rozstrzyga, czy znalezisko jest osiągalne. Dlatego Google rozbija pomiar na trzy benchmarki zamiast jednego — samo wykrywanie bez walidacji dałoby jeszcze większy zalew zgłoszeń.
Jest jeszcze drugi problem, którego skaner w ogóle nie dotyka: odpowiedzialność za poprawkę. Jeżeli model generuje patcha, ktoś musi rozstrzygnąć, czy ten patch nie wprowadza nowej luki. Stąd nacisk Google na to, by model nie obchodził testów i nie zgłaszał twierdzeń bez pokrycia — baza kodu łatana w ten sposób byłaby gorsza niż niezałatana.
Co z zachowaniem samego modelu?
Druga część ogłoszenia dotyczy nie możliwości, lecz dyscypliny.
Na Terminal-Bench 4.0 — zestawie zadań wykonywanych w terminalu — Google zbił odsetek udanych obejść zadania do 0,0%, a samych prób do 0,4%. Chodzi o sytuacje, w których model zamiast rozwiązać problem, manipuluje testem tak, by ten przeszedł.
W wewnętrznych środowiskach kodowania alerty o wysokiej wadze misalignment spadły o blisko 80%. Liczba twierdzeń bez pokrycia w materiale spadła około dwukrotnie wobec Argona. Google raportuje też spadek przekraczania zakresu zadania o 26% i spadek niedowożenia o 29%.
Najmocniejszy pojedynczy wynik dotyczy prompt injection. Na benchmarku Gray Swan Argon prowadził z 0,7% skutecznych ataków, a Carbon odbił wszystkie testowane próby.
| Model | Skuteczne ataki prompt injection |
|---|---|
| Gemini 4 Carbon | 0,0% |
| Gemini 4 Argon | 0,7% |
| Claude Opus 5.5 | 1% |
| GPT-6 Astra | 8,5% |
Czy to już działa?
Nie dla deweloperów, firm ani użytkowników końcowych. Od tygodnia ogłoszenia Google udostępnia Carbona wyłącznie podzbiorowi zespołów zajmujących się obroną przed atakami, a dostęp dla kolejnych zaufanych partnerów ma być otwierany stopniowo przez program Fairwind.
Google uczestniczy przy tym w dobrowolnym rządowym procesie testowania modeli przed premierą, prowadzonym w Stanach Zjednoczonych. Firma nie podała daty szerokiego udostępnienia.
Cena wprowadzająca to 2 USD za milion tokenów wejściowych (ok. 7,30 zł) i 10 USD za wyjściowe, z tokenami z cache tańszymi o 95%. Po okresie wprowadzającym stawki rosną do 4 i 20 USD. Na pytanie Ars Technica o datę tej podwyżki Google nie odpowiedział.
Dlaczego to ważne?
Dwa tygodnie między Argonem a Carbonem to tempo, przy którym premiery modeli frontierowych przestają być rocznym rytmem. Istotniejsze jest jednak co innego: Google po raz pierwszy wstrzymuje szeroki dostęp nie z powodu kosztów obliczeniowych, lecz z powodu zdolności ofensywnych modelu. Narzędzie, które samodzielnie znajduje luki i buduje do nich exploity, działa w obie strony.
Co dalej?
- Dostęp dla kolejnych zaufanych partnerów ma być otwierany etapami przez program Fairwind — Google nie podał terminu
- Cena wzrośnie do 4 USD za milion tokenów wejściowych i 20 USD za wyjściowe po okresie wprowadzającym, którego daty Google nie wskazał mimo pytania Ars Technica
- Argon przeszedł z analogicznego, etapowego wdrożenia do szerokiej dostępności w ciągu około dwóch tygodni — to jedyny istniejący punkt odniesienia dla harmonogramu Carbona
