En lille model jog en frontmodel forbi
Den 21. juli udgav Google DeepMind Gemini 3.5 Flash Cyber, en sikkerhedstilpasset udgave af dens lette Flash-model, bygget til at finde, bekræfte og udbedre softwarefejl. Testet mod V8-JavaScript-motoren, der kører inde i Chrome, bragte den 55 unikke bekræftede sårbarheder frem, mod 47 for den almindelige Flash og 36 for Claude Opus 4.6. Ti af dem var fejl, som ingen af de andre modeller fangede.
Overskriften, alle vil skrive, er, at et forsvarsværktøj blev bedre. Tallet, en ejer bør dvæle ved, er, at en lille, billig model slog en stor frontmodel i at finde ægte fejl i en af verdens mest gennemgåede kodebaser.
Økonomien er lige vendt om
I to år var arbejdsantagelsen, at den største, dyreste model vinder. Flash Cyber bryder det for snævre opgaver. Den kører på et omkostningseffektivt grundlag, bruger cirka 17 procent færre outputtokens end den model, den er tilpasset fra, og fører alligevel på CyberGym-benchmarken og på skanningen af Chromes produktionscommits. Specialisering, ikke størrelse, bar den.
Det er et indkøbssignal, før det er et sikkerhedssignal. Du behøver ikke generelle frontmodeller for at skanne din egen kode; en mindre model, tilpasset opgaven, kan være billigere og bedre, hvilket omrammer, hvordan du budgetterer dine AI-værktøjer i det hele taget.
Hagen er, hvem der må holde den
Google sælger ikke Flash Cyber. Den udgives via et begrænset pilotprojekt til stater og betroede partnere, integreret i Googles CodeMender-agent, med det erklærede mål at give forsvarere i frontlinjen et forspring, mens misbrug af en dobbeltanvendelig evne begrænses. Den begrundelse er ærlig. Den betyder også, at den stærkeste udgave af dette værktøj indtil videre er noget, du ikke kan licensere.
Google tilbyder ganske vist CodeMenders grundlæggende evner via sin virksomhedsplatform med standardmodeller. Nyttigt, men det er ikke modellen, der slog Opus, og du bør planlægge omkring hullet, ikke omkring løftet.
Planlæg for evnen, ikke for produktet
Adgangskontroller sinker spredningen; de standser den ikke. Det vigtige faktum er ikke længere, hvilken virksomhed der holder den bedste skanner - det er, at automatiseret sårbarhedssøgning på dette niveau er påvist billigt, og billige evner bliver bygget efter i det åbne. Antag, at en angriber kan nå et sammenligneligt værktøj, og byg din risikomodel på den antagelse frem for på Googles udgivelsespolitik.
For et europæisk team flugter det med, hvor reguleringen allerede skubber. Cyber Resilience Act og retningslinjerne om hukommelsessikkerhed fra myndigheder som Center for Cybersikkerhed i Danmark og NCSC i Storbritannien peger alle mod de samme holdbare forsvar, som ingen modelport kan tage fra dig.
Hvad der reelt mindsker din eksponering
De uglamourøse kontroller er dem, du ejer. Forkort tiden mellem, at en patch udkommer, og du ruller den ud, for automatiseret søgning forkorter angriberens side af netop det kapløb. Flyt ny kode mod hukommelsessikre sprog, hvor hele den klasse af fejl, Flash Cyber jager, ganske enkelt ikke kompilerer. Før en ægte softwarestykliste, så du inden for timer ved, når en fejl lander i en afhængighed, om den sidder i din stak.
Intet af det venter på et pilotprogram. Det er tilgængeligt i dag, det lægger sig oven i hinanden, og til forskel fra en tilbageholdt model kan ingen tilbagekalde din adgang til det.
Læs videre: 87 år faldt for et svar, alle kan efterprøve | Googles flagskibsmodel er forsinket og har ingen ny dato
