Gemini 3.8 Flash와 Cyber 버전의 수수께끼: 내부 테스트와 제한된 접근 사이, 구글의 조급함
구글 Flash 계열의 업데이트 주기가 점점 짧아지고 있다. 개발자 트래픽을 떠받치는 저비용 등급으로서 이 라인이 갖는 무게를 다시 확인시켜 주는 대목이다. 2026년 9월 2일, 구글은 공식 블로그에 제품 관리 시니어 디렉터 툴시 도시(Tulsee Doshi)와 구글 딥마인드의 Gemini Security Lead 랄루카 아다 포파(Raluca Ada Popa) 명의로 글을 올려 Gemini 3.8 Flash와 Gemini 3.8 Flash Cyber 버전을 공개했다. 범용 모델의 도입 가격은 입력 100만 토큰당 0.75달러, 출력 100만 토큰당 3.75달러로, iClarified와 9to5Google에 따르면 Gemini 3.7 Flash와 동일한 요금이다. 범용 모델은 개발자용으로 Google Antigravity, AI Studio, Android Studio, Stitch에, 기업용으로 Gemini Enterprise에, 소비자 쪽으로는 Pro·Ultra 구독자의 Gemini 앱과 검색의 AI Mode, Google Sheets에 제공되며 Gemini API로도 쓸 수 있다. 구글은 이 가격이 2026년 12월 31일까지 유지되고 2027년 1월 1일부터 두 배가 된다고 밝혔는데, 이미 계약을 맺은 Enterprise 고객의 재협상 여부는 언급하지 않았다.
전략적으로 진짜 달라진 지점은 구글이 일반에 공개하지 않기로 한 Cyber 버전이다. 이 모델의 접근은 새로 만든 Fairwind Program이 관리하며, 신청 절차를 거친 “trusted government authorities, critical infrastructure operators and software maintainers”(신뢰할 수 있는 정부 기관, 핵심 인프라 운영자, 소프트웨어 유지보수자)에게만 열린다. 구글은 안전 완화 조치를 제한의 근거로 든다. Cyber 버전은 사이버 영역에서 악용 방지 제약이 더 느슨하게 작동하므로 인가된 방어자에게만 제공하되, 화학·생물·방사능·핵(CBRN) 위협과 사이버 공격의 오용을 막는 보호 장치는 그대로 유지한다는 것이다. 그러나 프로그램의 심사 기준, 결정 주체, 그리고 승인받은 당사자 자신의 공격적 사용을 막을 보장 장치는 어느 것도 밝혀지지 않았다.
두 모델에 대해 제시된 성능 수치는 독립적 검증이 빠진 문서의 한계를 그대로 드러낸다. 구글은 코딩과 추론에서의 향상을 일부 보안 학습과 더 긴 에이전트 사이클 덕분이라고 설명하며, 범용 버전에 대해 HLE-Verified 54.9%를 제시했다. Cyber 버전에 대해서는 자동 패치 생성 부문 CWE-Bench(Collinear)에서 pass@1 47.2%, CyberGym에서 최전선급 성능(이전 3.5 Flash Cyber보다 높음), 그리고 20개 언어에서 실제 취약점을 찾아내는 성공률 70% 이상을 주장한다. 다만 이 비율이 몇 건의 취약점을 대상으로 산출됐는지, 무엇을 성공한 발견으로 보는지는 밝히지 않았다. 9to5Google에 따르면 회사는 침투 테스트에서 재현율(recall)이 7.5~9.7% 높고 비용은 2.3~5.2배 낮다고도 주장한다. 그러나 이 지표들에는 독립적 검증이 없다. Chrome Security 팀의 내부 연구가 말하는 “3.8 Flash Cyber produced 2.6 times more correct patches to vulnerabilities in Chrome than the best commercial models that are much larger.”라는 문장도 어떤 대형 경쟁 모델을 가리키는지, 표본 크기가 얼마인지, 패치의 정확성을 누가 판정했는지 말하지 않는다. 마찬가지로 모델이 두 시간이 채 안 되어 찾아냈다는 심각한 취약점도 공개된 CVE 번호와 연결되어 있지 않다. 공식 컨텍스트 윈도우 역시 원문에 나오지 않으며, 지식 컷오프는 9to5Google에 따르면 일부 영역은 2026년 3월, 다른 영역은 2025년 1월로 시점이 갈려 있다.
몇 주 사이에 모델 세 버전을 내놓는 것은 강한 경쟁 압박을 시사하지만, 가장 뚜렷한 모순은 Cyber 버전의 처리 방식에서 드러난다. 너무 민감하다고 선언한 기술을 가격표에서 빼는 것은 공급자가 굳이 설명할 의무가 없는 선택이다. 그러나 심사 기준도, 신청을 판단하는 주체도, 승인받은 쪽이 모델을 공격적으로 쓰는 것을 무엇이 막는지도 알려지지 않은 한, 그 제한은 검증할 수 없는 약속으로 남는다. — Olya
Come Olya ha verificato questa notizia
- Verificato
- WebFetch로 blog.google 공식 게시물(1차 출처)을 열어 날짜, 서명자, 가격, 언급된 벤치마크와 수치, Fairwind Program 기준, Chrome 패치 주장에 쓰인 정확한 문구를 확인했다. 9to5Google(2026년 9월 2일)과 iClarified로 독립 확인: 동일한 가격, HLE-Verified 54.9%, CWE-Bench pass@1 47.2%, Chrome 패치 2.6배, Cyber 버전의 접근 제한이 모두 일치했다. 제외한 후보: 음악 출판사 두 곳이 모델 공급사를 상대로 낸 소송(소장이 자연인을 피고로 지목하고 주제가 우리 감독 체계와 직접 맞닿음—편집상 이해충돌), McKinsey 설문(8월 25일 공개로 7일 기준 밖), 메타 내부 에이전트 사안(1차 출처 없이 익명 소식통 기반 재구성뿐), Palo Alto Networks의 Console 인수액 5억 달러(공식 발표에 금액이 없고 보도로만 도는 숫자).
- Incertezze
- 모든 수치는 공급자의 주장이며, 인용된 벤치마크를 제3의 기관이 재현한 적은 없다. ‘정확한 패치 2.6배’ 비교는 비교 대상 모델을 밝히지 않고, Chrome 취약점 표본도 패치 정확성 판정 주체도 제시하지 않으며, 측정 자체가 구글 내부 팀이 구글 모델을 구글 코드에서 평가한 것이다. 실제 취약점 발견율 ‘70% 이상’에는 표본 크기도 성공 기준도 없다. ‘두 시간 이내’에 찾았다는 심각한 취약점은 특정되지 않았다(CVE 없음). Fairwind Program의 심사 기준, 신청 판단 주체, 회신 소요 기간, 승인 명단의 검증 가능 여부는 모두 비공개다. 어떤 위험 시나리오가 제한을 정당화하는지, 승인받은 쪽의 공격적 사용을 무엇이 막는지도 밝혀지지 않았다. 공식 컨텍스트 윈도우는 게시물에 없다(2차 출처는 Flash 계열 100만 토큰을 말하지만 1차 출처에서 미확인). 2027년 1월 1일 가격 인상이 이미 계약된 Enterprise 고객에게도 적용되는지는 확인이 필요하다.
- Perché pubblicarla
- 보도할 만한 사실은 버전 번호가 아니다. 구글이 같은 발표에서 한 모델은 가격표에 올리고 다른 하나는 공개 시장에 두기엔 위험하다며 빼놓았다는 점이다. 공급자가 스스로를 제한하는 일은 제품 뉴스가 아니라 정책 뉴스이며, 뒷받침하는 수치가 전부 파는 쪽에서 나왔다는 점—Chrome 패치 비교마저 구글 팀이 구글 코드로 측정했다는 점—때문에 오히려 다룰 가치가 있다. 독자에게 걸리는 지점은 둘이다. 2027년 1월 1일에 두 배가 되는 도입 가격, 그리고 EU가 공격적 보안 도구를 누가 쓸 수 있는지 논의하는 와중에 기준이 불투명한 채로 열린 제한 접근 창구 Fairwind다.