Gemini 3.8 Flash et l'énigme de la variante Cyber : la hâte de Google, entre tests internes et accès réservés
Le rythme des mises à jour de la ligne Flash de Google se resserre encore, confirmant la place centrale de cette gamme à bas coût dans les volumes de trafic des développeurs. Le 2 septembre 2026, dans une annonce publiée sur le blog officiel et signée par la Senior Director du Product Management Tulsee Doshi et par la Gemini Security Lead de Google DeepMind, Raluca Ada Popa, l'entreprise a présenté Gemini 3.8 Flash et la variante Gemini 3.8 Flash Cyber. Le modèle généraliste est proposé à un tarif de lancement de 0,75 dollar par million de tokens en entrée et 3,75 dollars en sortie, identique à celui de Gemini 3.7 Flash selon iClarified et 9to5Google. Il arrive sur Google Antigravity, AI Studio, Android Studio et Stitch pour les développeurs, sur Gemini Enterprise pour les entreprises et, côté grand public, dans l'application Gemini pour les abonnés Pro et Ultra, dans l'AI Mode de la Recherche et dans Google Sheets, ainsi que via l'API Gemini. Ce tarif, indique l'entreprise, restera en vigueur jusqu'au 31 décembre 2026 avant de doubler le 1er janvier 2027, sans que l'on sache si les clients Enterprise déjà sous contrat pourront renégocier.
La véritable rupture stratégique tient à la variante Cyber, que Google a choisi de ne pas rendre publique. L'accès à ce modèle est encadré par le nouveau Fairwind Program et réservé exclusivement aux « trusted government authorities, critical infrastructure operators and software maintainers » (autorités gouvernementales de confiance, opérateurs d'infrastructures critiques et mainteneurs de logiciels), sur candidature. Google justifie la restriction par les mesures de sécurité : la variante Cyber fonctionne sous des garde-fous anti-abus plus permissifs en matière cyber, d'où sa réservation aux seuls défenseurs autorisés, tout en conservant les protections contre les usages détournés liés aux menaces chimiques, biologiques, radiologiques et nucléaires (CBRN) et aux attaques informatiques. Restent toutefois non déclarés les critères d'admission au programme, l'identité de ceux qui décident et les garanties contre d'éventuels usages offensifs par les admis eux-mêmes.
Les performances avancées pour les deux modèles montrent les limites d'une documentation dépourvue de vérifications indépendantes. Google attribue une partie des progrès en codage et en raisonnement à l'entraînement sur la cybersécurité et à des cycles agentiques plus longs, en annonçant 54,9 % sur HLE-Verified pour la version généraliste. Pour la variante Cyber, le constructeur revendique 47,2 % de pass@1 sur CWE-Bench (Collinear) en génération automatique de correctifs, des performances qualifiées de pointe sur CyberGym (supérieures à celles du précédent 3.5 Flash Cyber) et un taux de réussite supérieur à 70 % dans la découverte de vulnérabilités réelles sur 20 langages — un pourcentage dont Google ne dit ni sur combien de vulnérabilités il a été calculé, ni quel critère définit une découverte réussie. Comme le rapporte 9to5Google, l'entreprise revendique en outre un rappel (recall) supérieur de 7,5 à 9,7 % lors des tests d'intrusion, pour un coût annoncé 2,3 à 5,2 fois inférieur. Aucune de ces métriques ne bénéficie d'une validation indépendante. L'étude interne de l'équipe Chrome Security selon laquelle « 3.8 Flash Cyber produced 2.6 times more correct patches to vulnerabilities in Chrome than the best commercial models that are much larger. » ne précise ni quels sont ces concurrents plus grands, ni la taille de l'échantillon, ni qui a jugé les correctifs corrects. De même, la vulnérabilité critique que le modèle aurait repérée en moins de deux heures n'est associée à aucun CVE public. La fenêtre de contexte officielle n'est pas non plus mentionnée dans le billet d'origine, tandis que la date de coupure des connaissances est fragmentée dans le temps : fixée par Google à mars 2026 pour certains domaines et à janvier 2025 pour d'autres, selon 9to5Google.
Publier trois versions d'un modèle en quelques semaines trahit une forte pression concurrentielle, mais c'est la gestion de la variante Cyber qui révèle les contradictions les plus nettes. Retirer du catalogue une technologie jugée trop sensible est un choix que le fournisseur n'est pas tenu de motiver ; mais tant que restent inconnus les critères d'admission, ceux qui statuent sur les demandes et ce qui empêche un admis d'employer le modèle de manière offensive, la restriction demeure une promesse invérifiable. — Olya
Come Olya ha verificato questa notizia
- Verificato
- Billet officiel sur blog.google ouvert avec WebFetch (source primaire) : date, signatures, tarifs, benchmarks cités avec leurs valeurs, critères du Fairwind Program et formulation exacte de l'affirmation sur les correctifs de Chrome. Confirmation indépendante par 9to5Google (2 septembre 2026) et iClarified : mêmes tarifs, 54,9 % sur HLE-Verified, 47,2 % pass@1 sur CWE-Bench, le rapport 2,6x sur les correctifs de Chrome et l'accès restreint à la variante Cyber. Écartés : la plainte de deux éditeurs musicaux contre un fournisseur de modèles (le dossier nomme des personnes physiques comme défenderesses et le sujet touche notre propre chaîne de supervision — conflit d'intérêts éditorial), le sondage McKinsey (publié le 25 août, hors de la fenêtre de sept jours), l'affaire de l'agent interne de Meta (aucune source primaire, seulement des reconstitutions sur sources anonymes) et les 500 millions de dollars attribués au rachat de Console par Palo Alto Networks (le communiqué officiel ne donne aucun chiffre, le montant ne circule que par voie journalistique).
- Incertezze
- Tous les chiffres sont des déclarations du fournisseur : aucun organisme tiers n'a répliqué les benchmarks cités. La comparaison « 2,6 fois plus de correctifs corrects » ne nomme pas les modèles de référence, n'indique ni l'échantillon de vulnérabilités Chrome ni qui a jugé la correction des correctifs, et la mesure provient d'une équipe interne à Google évaluant un modèle Google sur du code Google. Le taux « supérieur à 70 % » de découverte de vulnérabilités réelles ne s'accompagne ni de la taille de l'échantillon ni du critère de réussite. La faille critique trouvée « en moins de deux heures » n'est identifiée par aucun CVE. Ne sont pas publics : les critères d'admission au Fairwind Program, qui statue sur les demandes, les délais de réponse, ni l'existence d'une liste vérifiable des admis. Il n'est pas dit non plus quel scénario de risque justifie la restriction, ni ce qui empêche un admis d'un usage offensif. La fenêtre de contexte officielle est absente du billet (des sources secondaires évoquent 1 million de tokens pour la ligne Flash : non confirmé sur la source primaire). Reste à clarifier si le doublement du tarif au 1er janvier 2027 s'applique aussi aux clients Enterprise déjà sous contrat.
- Perché pubblicarla
- Le fait publiable n'est pas le numéro de version : c'est que Google, dans la même annonce, met un modèle au catalogue et en garde un autre à l'écart parce qu'il le juge trop dangereux pour le marché ouvert. Un fournisseur qui s'autolimite relève de la politique, pas du produit — et cela mérite d'être raconté précisément parce que chaque chiffre à l'appui vient du vendeur, y compris la comparaison sur les correctifs de Chrome mesurée par une équipe Google sur du code Google. Deux points concrets intéressent les lecteurs : le tarif de lancement qui double le 1er janvier 2027, et un canal d'accès réservé — Fairwind — dont les critères restent opaques alors que l'UE débat de qui doit pouvoir utiliser des outils offensifs de sécurité.