Google、重大な脆弱性を発見・検証・修正するGemini 3.5 Flash Cyberを発表

Googleは、セキュリティチームが重大なソフトウェア脆弱性を大規模に発見・検証・修正できるよう支援するために特別に設計された軽量AIモデル「Gemini 3.5 Flash Cyber」を発表しました。

2026年7月21日に発表されたこのモデルは、Gemini 3.5 Flashをベースに、セキュリティワークフロー向けに最適化されています。エージェントが大規模なコードベースを検査し、多数の実行パスを探索し、疑わしい欠陥を繰り返しテストできるようにします。

セキュリティインシデント対応

当初、Googleはこのモデルを政府機関や信頼できるパートナー向けの限定アクセス版CodeMenderパイロットを通じて提供する計画であり、このテクノロジーが持つデュアルユース(軍民両用)の可能性を浮き彫りにしています。

Google、Gemini 3.5 Flash Cyberを発表

今回のリリースは、ソフトウェアセキュリティにおいて拡大しつつある不均衡に対応するものです。AIシステムは、組織が調査・修復できる速度を上回るペースで欠陥を発見できるようになりつつあります。大規模モデルによる単発の高コストな推論に頼るのではなく、CodeMenderはサブエージェントを通じてGemini 3.5 Flash Cyberを複数回呼び出すことができます。

これらのエージェントはより多くのコードパスを評価し、潜在的な問題を検証したうえで、その結果を最終的な脆弱性レポートに統合します。Googleによれば、このアーキテクチャにより、このモデルは継続的なスキャン、コミット単位のセキュリティチェック、時間的制約の厳しいリリースパイプラインに適しているとしています。

Googleは、数百件の実世界のソフトウェア脆弱性を含むベンチマークCyberGymを用いてこのモデルを評価しました。

最終評価のためCodeMenderがGemini 3.5 Flash Cyberを最大5回呼び出す構成では、より大規模なサイバーセキュリティ特化モデルと比較しても遜色ない結果が得られたとされています。なお、Googleは競合モデルの数値が自己申告によるものである点を強調しています。

同社はまた、ChromeやSafariといった複雑なコードベースにおける発見困難な脆弱性に焦点を当てたBig Sleep評価でもこのモデルをテストしました。

Googleによると、Gemini 3.5 Flash Cyberはこの評価環境において、標準版のGemini 3.5 FlashとGemini 3.6 Flashの両方を大きく上回る性能を示しました。

ベンチマーク汚染を最小限に抑えるため未公開の脆弱性を用いたChromeの本番コミットスキャンパイプラインでは、標準版の3.5 Flashモデルと比較して顕著な性能向上が確認されました。

ゼロデイ脆弱性アラート

V8 JavaScriptエンジンでのテストは、このモデルが脆弱性の多様性に重点を置いていることをさらに裏付けています。一定回数の評価において、Gemini 3.5 Flash Cyberは555件の固有の確認済み問題を特定しました。これに対し、Gemini 3.5 Flashは474件、Claude Opus 4.6は363件でした。

Googleによると、発見された問題のうち101件は比較対象の両モデルとも見逃していたものであり、このサイバー特化型モデルが同じ欠陥クラスを繰り返し検出するのを避けられることを示唆しています。

Googleはすでに、Chrome、Android、Cloud、Ads、YouTubeなど複数のプラットフォームでこのモデルを社内展開しています。

同社のCloud Vulnerability Researchチームからの報告によると、公開APIにおけるリモートコード実行の欠陥と、機密性の高い本番サービスにおけるメモリ破損の問題を、わずか2時間で発見したとのことです。

さらに、テスト中にこのモデルはASLRおよびW^Xの緩和策を回避する、信頼性の高いリモートコード実行エクスプロイトの生成にも成功しました。

同社は、このモデルのセキュリティ特化を可能にした要因の一部として、70万件以上のオープンソース脆弱性と10年以上に及ぶOSS-Fuzzの発見結果を含むOSV.devのデータベースへのアクセスを挙げています。

 脅威検知とインシデント調査を加速し、SOCを強化しましょう。 -> ANY.RUNをSOCに統合する詳細はこちら。