Een klein model joeg een frontiermodel voorbij
Op 21 juli bracht Google DeepMind Gemini 3.5 Flash Cyber uit, een op beveiliging afgestemde versie van zijn lichte Flash-model, gebouwd om softwarefouten te vinden, te bevestigen en te herstellen. Getest tegen de V8-JavaScript-engine die in Chrome draait, bracht het 55 unieke bevestigde kwetsbaarheden naar boven, tegen 47 voor het gewone Flash en 36 voor Claude Opus 4.6. Tien daarvan waren fouten die geen van de andere modellen ving.
De kop die iedereen zal schrijven, is dat een verdedigingshulpmiddel beter werd. Het getal waar een eigenaar bij stil zou moeten staan, is dat één klein, goedkoop model een groot frontiermodel versloeg bij het vinden van echte fouten in een van de meest onderzochte codebases ter wereld.
De economie is zojuist gekanteld
Twee jaar lang was de werkaanname dat het grootste, duurste model wint. Flash Cyber breekt dat voor smalle taken. Het draait op een kostenefficiënte basis, gebruikt ongeveer 17 procent minder uitvoertokens dan het model waaruit het is afgestemd, en leidt toch op de CyberGym-benchmark en op het scannen van Chromes productiecommits. Specialisatie, niet omvang, droeg het.
Dat is een inkoopsignaal voordat het een beveiligingssignaal is. U hebt geen algemene frontiermodellen nodig om uw eigen code te scannen; een kleiner, op de taak afgestemd model kan goedkoper en beter zijn, wat de manier waarop u uw AI-gereedschap in het algemeen begroot, herkadert.
De vangst is wie het mag houden
Google verkoopt Flash Cyber niet. Het wordt uitgebracht via een beperkte pilot voor overheden en vertrouwde partners, geïntegreerd in Googles CodeMender-agent, met het verklaarde doel verdedigers in de frontlinie een voorsprong te geven en tegelijk misbruik van een tweeledig inzetbare capaciteit te beperken. Die redenering is eerlijk. Ze betekent ook dat de sterkste versie van dit hulpmiddel voorlopig iets is dat u niet kunt licenseren.
Google biedt de basiscapaciteiten van CodeMender wel via zijn ondernemingsplatform met standaardmodellen. Nuttig, maar het is niet het model dat Opus versloeg, en u kunt beter rond de kloof plannen dan rond de belofte.
Plan voor de capaciteit, niet het product
Toegangscontroles vertragen de verspreiding; ze stoppen die niet. Het belangrijke feit is niet langer welk bedrijf de beste scanner heeft - het is dat geautomatiseerd zoeken naar kwetsbaarheden op dit niveau goedkoop is aangetoond, en goedkope capaciteiten worden openlijk nagebouwd. Ga ervan uit dat een aanvaller een vergelijkbaar hulpmiddel bereikt, en bouw uw risicomodel op die aanname in plaats van op Googles vrijgavebeleid.
Voor een Europees team sluit dat aan bij waar de regelgeving al op aanstuurt. De Cyber Resilience Act en de richtlijnen over geheugenveiligheid van instanties als het NCSC in Nederland en het Britse NCSC wijzen allemaal naar dezelfde duurzame verdedigingen, die geen modelpoort u kan afnemen.
Wat uw blootstelling echt verkleint
De weinig glamoureuze maatregelen zijn die van uzelf. Verkort de tijd tussen het verschijnen van een patch en uw uitrol, want geautomatiseerd zoeken verkort de aanvallerskant van diezelfde race. Breng nieuwe code naar geheugenveilige talen, waar de hele klasse fouten die Flash Cyber najaagt eenvoudig niet compileert. Houd een echte softwarestuklijst bij, zodat u binnen uren weet, wanneer een lek in een afhankelijkheid valt, of het in uw stack zit.
Niets daarvan wacht op een pilotprogramma. Het is vandaag beschikbaar, het stapelt op, en anders dan een achtergehouden model kan niemand u de toegang ertoe ontnemen.
Lees hierna: 87 jaar sneuvelde door een antwoord dat iedereen kan narekenen | Googles vlaggenschipmodel is te laat en heeft geen nieuwe datum
