Gemini 4 Carbon : l’IA de Google qui trouve les failles, réservée pour l’instant aux défenseurs

88,2 %. C’est le score que Google revendique pour Gemini 4 Carbon sur SEC-bench Pro, un test où une IA doit dénicher seule de vraies failles dans de vrais logiciels. Présenté le 28 octobre 2026, le nouveau modèle est, selon l’annonce de Google, son plus puissant à ce jour. C’est justement pour cette raison que presque personne ne peut encore s’en servir.

Trouver, exploiter, corriger : les trois scores mis en avant

Google découpe la défense informatique en trois gestes et donne un chiffre pour chacun, mesuré sans les garde-fous du modèle :

• trouver des failles : 88,2 % sur SEC-bench Pro ;
• vérifier qu’une faille est exploitable, en écrivant l’attaque : 54,8 % sur ExploitGym ;
• corriger le défaut à sa racine : 71,0 % sur CWE-bench, un test de la société Collinear.

Toujours selon Google, Carbon écrit deux fois plus souvent du code sans faille que Gemini 4 Argon, son prédécesseur sorti deux semaines plus tôt. L’équipe de Chrome affirme qu’il produit des correctifs de qualité « plus de 10 fois » mieux que le grand modèle d’un autre laboratoire, sans dire lequel. Wiz, la société de sécurité du groupe Google, le voit aussi en tête pour les tests d’intrusion de sites web.

Le modèle n’est pas qu’un outil de sécurité. Google le présente comme capable de travailler pendant des jours sur une tâche d’ingénierie, en contournant les impasses, par exemple pour remonter à la cause d’un bug subtil dans un gros logiciel. Il prend aussi la première place de l’indice d’intelligence d’Artificial Analysis (version 5.0), avec 59 points.

Pourquoi vous ne pouvez pas l’essayer

Google parle d’un déploiement « délibéré ». Le modèle passe d’abord par la procédure volontaire de tests avant diffusion mise en place par le gouvernement américain. Dès cette semaine, seul « un sous-ensemble de défenseurs » y a accès. D’autres « partenaires de confiance » suivront via le programme Fairwind de Google. Les développeurs, les entreprises et le grand public viendront ensuite, « dès que possible », sans date.

La prudence se comprend. Une IA qui sait écrire l’attaque pour vérifier qu’une faille est réelle sait aussi attaquer, entre de mauvaises mains. Google fait le pari de donner une longueur d’avance aux défenseurs. Le prix est pourtant déjà fixé : 2 dollars par million de jetons envoyés et 10 dollars par million de jetons produits, un tarif de lancement. Les jetons sont les morceaux de mots que facture une IA.

Ce que valent ces chiffres

Tous ces scores viennent de Google. Ars Technica relève que les modèles de pointe se tiennent à quelques points les uns des autres dans ces tests. Le média note aussi que rien n’exclut que Carbon soit un Argon simplement réentraîné. Dans les tableaux de Google, Carbon devance presque partout Claude Opus 5.5 d’Anthropic et GPT-6 Astra d’OpenAI, de peu.

Un chiffre retient l’attention : sur le test de Gray Swan, Carbon a résisté à toutes les tentatives d’injection de consignes, selon Google. Argon en laissait passer 0,7 %. Ars Technica cite aussi, d’après Google, 1 % pour Claude Opus 5.5 et 8,5 % pour GPT-6 Astra. Une injection de consignes, c’est un texte piégé, caché dans une page web ou un courriel, qui tente de détourner l’IA qui le lit. C’est la faiblesse qui inquiète le plus dès qu’on confie à une IA ses courriels ou sa navigation.

Une course qui touche déjà nos sites

Les IA chasseuses de failles ne sont plus une hypothèse. La mise à jour de sécurité WordPress 7.1.4, publiée le 28 octobre, corrige notamment deux failles signalées par Anthropic, l’entreprise de Claude, selon la liste officielle de WordPress. Or WordPress fait tourner une grande partie des sites web, en Belgique comme ailleurs.

Les défenseurs ont besoin de vitesse. Le 21 octobre, plusieurs administrations belges, dont le SPF Finances, avaient dû couper leurs sites par précaution face à une faille du langage PHP (on en a parlé ICI). Corriger vite, à grande échelle, c’est exactement ce que Google promet avec Carbon.

Reste une question que le billet de Google laisse ouverte : il ne cite ni l’Europe ni ses autorités. Rien ne dit si des défenseurs européens, comme le Centre pour la cybersécurité Belgique, feront partie du premier cercle.

En bref

• Google a présenté le 28 octobre 2026 Gemini 4 Carbon, son modèle le plus puissant, surtout fort en cybersécurité.
• Scores annoncés par Google : 88,2 % pour trouver des failles, 54,8 % pour les exploiter, 71 % pour les corriger.
• Accès réservé d’abord à des défenseurs choisis, puis à des partenaires ; le grand public attendra, sans date.
• Les chiffres viennent de Google ; l’écart avec Claude et GPT-6 reste de quelques points.

Sources : annonce de Google, Ars Technica, WordPress 7.1.4.

Le Bien Heureux · Rédaction Capibara · Jeudi 29 octobre 2026