À l’automne 2011, deux équipes de virologues, à Rotterdam et dans le Wisconsin, soumettent à Science et à Nature des travaux où des virus dérivés du H5N1, la grippe aviaire, deviennent transmissibles par voie aérienne entre furets. Utiles à la surveillance et aux vaccins selon leurs auteurs, ils pouvaient aussi guider la fabrication d’une souche pandémique. En décembre, un comité consultatif fédéral américain recommande d’en retirer les méthodes, et les revues suspendent la publication.
Le débat se tient alors au grand jour, jusqu’au revirement du comité en mars 2012 et à la parution intégrale des deux articles. Les modèles de langage les plus avancés posent la même question : un système capable de débusquer seul, des jours durant, une faille dans une base de code sert le défenseur qui la colmate comme l’intrus qui s’y glisse. L’arbitrage revient pourtant à l’éditeur, qui choisit ses utilisateurs tout en disputant à ses concurrents la tête des classements et le tarif le plus bas.
Le 28 octobre, Google DeepMind a présenté Gemini 4 Carbon, le plus fort de ses modèles, premier de l’indice d’Artificial Analysis et affiché moins cher que ses rivaux, mais réservé pour l’heure à un cercle de cyberdéfenseurs. Restent à établir ce que vaut une première place que nul utilisateur ne peut vérifier, d’où vient chaque chiffre, ce que dit la documentation de sûreté, à qui le modèle est servi et ce qu’il coûte.
Une première place que les utilisateurs ne peuvent pas vérifier
Google dit Carbon supérieur à GPT-6 Astra, d’OpenAI, et à Claude Opus 5.5, d’Anthropic. Dans sa nouvelle version 5.0, l’indice d’Artificial Analysis lui donne 59 points en effort de raisonnement élevé, contre 58 à Opus 5.5 en effort maximal et 57 au cran inférieur, autant que GPT-6 Astra ; Gemini 4 Argon, sorti quelques semaines plus tôt, n’obtient que 50. Ses neuf épreuves sont toutes conduites par l’évaluateur : une hiérarchie qui ne doit rien à Google, mais que nul autre ne peut refaire, faute d’accès au modèle.
Une couronne qui dépend de l’épreuve
Sur l’indice de code agentique du même évaluateur, Carbon (59) reste derrière Opus 5.5 (62), selon le site The Decoder. Sur WebDev Arena, il progresse de 89 points Elo et atteint le quatrième rang, à 1 768 points, grâce à des productions web plus soignées selon Google, qui dit avoir travaillé, d’après les retours d’utilisateurs, le code, les missions d’agent ou scientifiques, le développement web de bout en bout et l’analyse multimodale.
Deux semaines après Argon
Carbon prolonge la lignée Gemini, ces modèles de langage multimodaux que Google DeepMind a annoncés le 6 décembre 2023 pour prendre la suite de LaMDA et PaLM 2, déclinés en Pro, Deep Think, Flash et Flash Lite et qui animent l’assistant du même nom ; le latin gemini, les jumeaux, y salue le rapprochement de Google Brain et de DeepMind autant que le programme spatial homonyme de la NASA. Argon n’était public que depuis deux semaines : Google y voit la preuve de sa vitesse, chercheurs et modèles avançant « main dans la main » tandis que les garde-fous se renforcent.
Détecter, prouver, corriger : trois bancs, une seule mesure extérieure
Google dit avoir misé sur le code, les tâches d’agent au long cours et la cybersécurité, où il revendique l’état de l’art sur tout le cycle de la défense : repérer la faille, prouver qu’elle s’exploite, la corriger. En interne, Carbon aurait travaillé seul plusieurs jours, insistant malgré les impasses pour remonter à l’origine de bogues discrets, enfouis dans d’immenses bases de code ou au plus près du matériel. Ses scores cyber sont mesurés sans garde-fous ; ceux d’Argon étaient calculés par Google lui-même, dans une version interne de son harnais Antigravity.
Deux records déclarés
Google range SEC-bench Pro sous la détection autonome de failles cachées dans du code réel, où il revendique un record à 88,2 %. Lancé en mai par Hwiwon Lee, Lingming Zhang et leurs coauteurs, puis étendu en juin au noyau Linux, le banc demande plus exactement de produire l’entrée qui déclenche une faille déjà divulguée, sa preuve de concept, sur 344 vulnérabilités de V8, SpiderMonkey et Linux. Le meilleur score publié par ses auteurs est de 58,4 %, pour GPT-5.5 dans Codex ; celui de Carbon, calculé par Google, est absent du classement public.
Les défenseurs, plaide Google, demandent de plus en plus à des modèles quelles failles s’exploitent, pour trier celles à corriger : Carbon battrait le record d’ExploitGym à 54,8 %, loin devant Opus 5.5 et GPT-6 Astra. Publié le 11 mai par Zhun Wang, Dawn Song et quatorze coauteurs, dont Elie Bursztein, Luca Invernizzi et Kurt Thomas, connus pour leurs travaux chez Google, le banc exige de transformer le déclencheur d’une faille en exploit fonctionnel sur 898 cas réels, où Claude Mythos Preview réussissait 157 exploits et GPT-5.5 120. Le chiffre de Carbon, obtenu en dix heures d’exécution selon The Decoder, reste déclaratif.
CWE-bench, le seul score cyber mesuré par un tiers
Conçu par Collinear AI et évalué en toute indépendance par Artificial Analysis, CWE-bench soumet 120 tâches privées d’audit et de correction sur 73 catégories de failles : l’agent ignore quelle faille chercher, où et combien, et son correctif ne compte que s’il bloque l’exploit sans casser un seul test. Au classement du 28 octobre, Carbon obtient 71 %, devant Grok 4.7, GPT-6 Astra et Argon (68 %) et Opus 5.5 (67 %), à l’étape où, selon Google, les failles validées deviennent des correctifs.
Une fiabilité attestée par la maison
Dans les tests internes, Carbon réussirait plus de deux fois mieux qu’Argon à écrire du code sûr, et ferait reculer désalignement et affabulations chez les équipes de Google qui codent en conditions réelles. L’équipe Chrome le juge plus de dix fois meilleur qu’un grand modèle de pointe d’un autre laboratoire, non nommé, pour produire des correctifs de qualité ; Wiz, présentée par Google comme sa plateforme phare de sécurité du cloud, le voit en tête des bancs de tests d’intrusion web, sans chiffre, une aptitude clé pour son initiative Scan for Good.
Moins d’affirmations infondées, plus d’hallucinations
Carbon avancerait environ moitié moins d’affirmations infondées qu’Argon ; dans les environnements de code internes, les alertes de désalignement graves reculent de près de 80 % et la triche réussie sur Terminal-Bench 4.0, épreuve de l’indice, tombe à zéro. Aucun tiers ne l’a vérifié ; sur une mesure voisine, le volet AA-Omniscience d’Artificial Analysis, le taux d’hallucination passe au contraire de 4 % pour Argon à 11 %, le deuxième plus bas du classement, selon The Decoder. Au banc d’injection indirecte de Gray Swan, toutes les attaques échoueraient, contre 0,7 % de réussite face à Argon ; le test paraît saturé, relève le site, sans que l’injection soit réglée pour autant.
Un modèle sans fiche, adossé au rapport d’Argon
Carbon repose, selon Google, sur le même empilement de protections qu’Argon, de l’entraînement aux parades instantanées contre les abus, de la résistance aux injections à la surveillance du raisonnement, l’alignement étant poussé plus loin. Aucune fiche propre ne l’accompagne : l’index des fiches de Google DeepMind s’arrête à celle d’Argon, mise à jour le 13 octobre. L’annonce renvoie au rapport de sûreté d’Argon, 217 pages qui ne nomment jamais Carbon, où Google rendait compte de la conduite alignée de son prédécesseur.
Un seuil critique que Google ne peut exclure
Le rapport applique la version 3.1 du Frontier Safety Framework, publiée en avril. Google « ne peut exclure » qu’Argon non bridé atteigne le seuil critique Cyber Uplift Level 1, une aide suffisante à des cyberattaques à fort impact, et conclut, dossier de sûreté à l’appui, que le risque résiduel reste en deçà avec les garde-fous. Sur 22 cyberattaques majeures, de SolarWinds à MOVEit, découpées en 23 étapes types, le modèle sans protections en diviserait le coût par 9 à 100, 16,7 en moyenne géométrique. Carbon, présenté comme une nette avancée, n’a eu droit à aucune évaluation publiée de ce genre.
Le paradoxe du défenseur
Les talents dont Google se félicite, trouver la faille et prouver qu’elle s’exploite, sont aussi ceux qui le retiennent de servir le modèle à tous. Carbon doit être confié dès cette semaine à une partie des cyberdéfenseurs, puis, peu à peu, à de nouveaux partenaires de confiance du programme Fairwind ; développeurs, entreprises et particuliers attendront que l’éditeur ait recueilli des retours et affiné ses protections, l’accès étant promis « dès que possible ».
Ce que le cercle a le droit de faire
Fairwind n’ouvre pas seulement un accès anticipé : il desserre les protections. Selon le rapport d’Argon, les parades contre les abus y sont ajustées pour laisser des utilisateurs autorisés vérifier qu’une faille s’exploite, simuler une menace ou disséquer un logiciel malveillant, sous surveillance continue ; en écrire un reste interdit, comme revendre l’accès. Revendiquant plus de 650 partenaires, le programme s’ouvre, après vérification d’antécédents, des autorités nationales aux laboratoires universitaires de bancs défensifs ; on y candidate par l’équipe commerciale de Google Cloud, et seul Argon y figure encore.
Treize jours pour Argon, aucune date pour Carbon
Annoncé le 30 septembre et d’abord réservé aux mêmes défenseurs, Argon a été ouvert le 13 octobre aux développeurs de l’API Gemini payante et aux abonnés Google AI Ultra. Pour Carbon, aucune date. Un délai comparable dirait les garde-fous jugés suffisants ; une réserve durable le rapprocherait de Claude Mythos Preview, qu’Anthropic a lancé le 7 avril dans le Project Glasswing sans intention de l’ouvrir au public. Le 3 septembre, la fiche système de GPT-6 Astra faisait déjà de lui le premier modèle d’OpenAI au palier critique en cybersécurité.
Un examen fédéral qui ne se publie pas
Google dit aussi participer au processus fédéral volontaire de test avant sortie, celui que le décret américain du 2 juin a doté d’une fenêtre d’accès de 30 jours au plus, sans droit de veto pour l’État. Ses conclusions ne sont pas faites pour circuler : fin juin, selon le Wall Street Journal, la Maison-Blanche a demandé au CAISI du département du Commerce de suspendre la publication de ses rapports sur les modèles de pointe. Rien n’oblige donc à rendre public un test de Carbon.
Une guerre des prix sur un modèle introuvable
Google maintient pourtant ses prix bas : Carbon reprend le tarif d’introduction d’Argon, 2 dollars le million de jetons en entrée et 10 en sortie, avec 95 % de remise sur l’entrée mise en cache, puis 4 et 20 dollars après la promotion. C’est cinq fois moins que le tarif standard de l’API de GPT-6 Astra, 10 et 50 dollars, et moitié moins que Claude Opus 5.5, mis en ligne le 22 septembre à 4 et 20 dollars. La grille officielle de l’API Gemini, au 28 octobre, borne la remise d’Argon au 30 novembre et ignore Carbon, dont The Decoder fait courir le rabais jusqu’à fin 2026.
Moins cher au jeton, pas à la tâche
Au tarif catalogue de 4 et 20 dollars, une tâche de l’indice d’Artificial Analysis coûte 7,76 dollars avec Carbon, 10,04 avec Opus 5.5, mais 6,25 avec GPT-6 Astra, deux fois et demie plus cher au jeton. Carbon est prolixe : 200 millions de jetons de sortie pour passer l’indice, contre une médiane de 71 millions. La surenchère continue, deux jours après GPT-6.1 Terra, lancé par OpenAI le 26 octobre, et trois semaines après que Mistral a revendiqué pour Mistral Large 4, le 6 octobre, une place parmi les cinq premiers de l’indice cyber d’Artificial Analysis.
Un point d’avance mesuré par un tiers que nul utilisateur ne peut contredire ; trois scores cyber, dont un seul vérifié hors de chez Google ; des progrès de fiabilité qu’aucune mesure extérieure ne confirme ; un modèle sans fiche, adossé au rapport d’un prédécesseur dont le seuil critique n’a pu être exclu. Carbon arrive avec davantage de revendications que de preuves publiques, et avec un prix.
Le paradoxe dépasse Google. Un modèle qui trouve, exploite et corrige les failles ne se scinde pas en version défensive et version offensive : seuls ses garde-fous et sa distribution se règlent, et ce réglage relève de l’éditeur, de ses critères et de ses contrats, sous un examen fédéral aux conclusions confidentielles. De Mythos Preview à Carbon, la diffusion restreinte gagne les modèles de pointe, sans que le public sache où chacun se situe au regard des seuils invoqués.
Vue d’Europe, la question n’a rien de théorique. Aux Assises de la cybersécurité de Monaco, du 7 au 10 octobre, le constat dominant voulait que l’IA offensive mette des capacités d’expert à la portée d’acteurs peu qualifiés, des tentatives d’exploitation surgissant parfois quelques heures après la publication d’une faille critique. Les travaux sur le H5N1 avaient eu leur débat public ; l’accès des défenseurs européens au modèle présenté comme le meilleur en cyberdéfense passe, lui, par l’équipe commerciale d’un groupe américain.
Aller plus loin
La revendication se lit dans sa version d’origine, Gemini 4 Carbon: our next frontier model, signée par Koray Kavukcuoglu, qui aligne les trois bancs cyber, les chiffres d’alignement sur Terminal-Bench et Gray Swan, les tarifs et les étapes de la diffusion par Fairwind, et renvoie au processus fédéral volontaire sans en dire davantage.
Le classement se vérifie, autant qu’il peut l’être, sur la page de l’Artificial Analysis Intelligence Index, qui énumère les neuf évaluations de la version 5.0 et leurs quatre blocs, et montre un même modèle dédoublé au classement selon l’effort de raisonnement qu’on lui accorde, ce qui relativise un point d’écart.
Le banc de détection invoqué est défini dans SEC-bench Pro: Can Language Models Solve Long-Horizon Software Security Tasks?, qui décrit, dans sa version révisée de juillet, la reproduction de preuves de concept sur 344 failles réelles de moteurs JavaScript et du noyau Linux, et place en tête GPT-5.5 dans Codex avec 58 %, repère utile face aux 88,2 % revendiqués.
La marche suivante, de la faille à l’attaque, fait l’objet d’ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks?, dont les 898 cas éprouvés sous différentes protections montrent que les modèles conservent un taux de réussite non négligeable même lorsque les défenses usuelles sont activées.
Le parti inverse, mesurer la réparation plutôt que l’attaque, est défendu dans CWE-bench: Refocusing Agentic Security from Exploitation to Defense, qui expose ses 120 tâches, ses 73 catégories de failles et une vérification programmatique qui ne retient un correctif que s’il bloque réellement l’exploit visé.
Le zéro de Carbon prend son relief dans How Vulnerable Are AI Agents to Indirect Prompt Injections?, compte rendu de la compétition publique dont est né le banc de Gray Swan, avec ses 464 participants, son critère de l’action nuisible dissimulée à l’utilisateur et des taux de départ allant de 0,5 à 8,5 % selon les modèles.
L’absence de document propre à Carbon se constate en ouvrant la fiche du modèle Gemini 4 Argon, la plus récente de la famille, qui résume domaine par domaine les conclusions du Frontier Safety Framework, quand son successeur, présenté comme plus capable, n’a encore droit à rien d’équivalent.
Le fond du dossier tient dans le Gemini 4 Argon Safety & Security Report, où l’on trouve le seuil critique cyber non exclu, la méthode des 22 attaques historiques, le banc CyScenarioBench saturé, la liste des évaluateurs extérieurs et les aménagements consentis aux partenaires de Fairwind.
Le cadre fédéral est analysé par le cabinet WilmerHale dans New Executive Order Addressing Early Government Access to Frontier AI Models, qui détaille la fenêtre volontaire de 30 jours, l’examen classifié des modèles couverts, l’absence de veto et l’extension possible à des partenaires de confiance.
Les prix se suivent dans la grille tarifaire de l’API Gemini, qui borne au 30 novembre le tarif d’introduction d’Argon, prévoit son doublement au 1er décembre et distingue les offres standard, par lots, flexible et prioritaire, rappelant que le prix d’un jeton dépend aussi du mode de service choisi.
Mis bout à bout, ces documents séparent ce que l’annonce mêle. Les bancs publics décrivent ce qu’un modèle peut faire d’une faille, du déclencheur à l’exploit puis au correctif ; le rapport d’Argon chiffre ce qu’un attaquant y gagnerait ; l’évaluateur tiers mesure un classement que personne d’autre ne peut refaire ; le droit américain organise un contrôle sans publicité. La diffusion restreinte y apparaît moins comme une précaution ponctuelle que comme l’aveu qu’en cybersécurité, défendre et attaquer relèvent de la même compétence.