Google heeft deze week Gemini 4 Carbon gepresenteerd, een nieuw AI-model dat volgens het bedrijf opvallend goed scoort op cybersecuritytaken. Carbon moet kwetsbaarheden kunnen opsporen, misbruiken en verhelpen, en Google noemt het resultaat op meerdere benchmarks een duidelijke voorsprong.
Op SEC-bench Pro, een test voor het vinden van kwetsbaarheden, haalt het model 88,2 procent. Bij ExploitGym, waarin het model kwetsbaarheden daadwerkelijk moet misbruiken, scoort Carbon 54,8 procent. Voor het patchen van kwetsbaarheden op CWE-bench noteert Google 71,0 procent. Op de bredere Artificial Analysis Intelligence Index komt het model uit op 59 punten, net boven Claude Opus 5.5 (58), GPT-6 Astra (57) en GPT-6.1 Sol (55). Al deze cijfers zijn door Google zelf gerapporteerd en niet onafhankelijk geverifieerd.
Volgens Google is Carbon beter geworden in het detecteren, valideren en oplossen van kwetsbaarheden, en is het model twee keer zo vaak in staat veilige code te schrijven als voorganger Gemini 4 Argon. Bij een onduidelijke of risicovolle opdracht vraagt het model om menselijke input in plaats van zelf te gokken, en in alle geteste gevallen van indirecte prompt-injectie wist het die te weerstaan. Google-topman Koray Kavukcuoglu wijst vooral op de score op SEC-bench Pro als bewijs van een duidelijke voorsprong bij het vinden van kwetsbaarheden.
Toegang tot Carbon is voorlopig beperkt tot een kleine groep cyberverdedigers, met plannen om dat uit te breiden naar andere vertrouwde partners via Google’s Fairwind-programma. Het bedrijf zegt ook deel te nemen aan het vrijwillige testprogramma van de Amerikaanse overheid voor modellen die nog niet zijn uitgebracht. De aankondiging volgt minder dan een week na die van Gemini 4 Argon, en komt kort nadat OpenAI liet weten dat zijn GPT-6.1 Terra volgens het eigen Preparedness Framework de kritieke drempel voor cybersecurity heeft bereikt.
Dat dezelfde vaardigheden die verdedigers helpen ook aanvallers kunnen bijstaan, is geen hypothetisch risico. Anthropic meldde deze maand dat een eigen, nog niet uitgebracht model zelfstandig een reeks serieuze fouten vond, waaronder een Chrome-exploit die met één klik werkt, een exploitketen voor Safari, een manier om het vergrendelscherm van Android te omzeilen en een denial-of-service-fout in Windows HTTP.sys (CVE-2026-33096). Volgens Anthropic was voor dat soort werk voorheen een gespecialiseerd team nodig, en kan het nu met weinig menselijke betrokkenheid.
Voor organisaties die zelf software ontwikkelen of beheren, betekent dit vooral dat AI-ondersteund kwetsbaarhedenbeheer snel volwassener wordt: sneller scannen, sneller valideren, sneller patchen. Het betekent tegelijk dat de drempel om een werkende exploit te bouwen verder daalt. Beide ontwikkelingen onderstrepen dat tijdig patchen en basishygiëne, zoals segmentatie en monitoring, belangrijker worden, niet minder.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.