Google、脆弱性発見モデル「Gemini 3.5 Flash Cyber」を発表
- •Googleは、自動化されたソフトウェアの脆弱性発見および修正に特化した軽量な微調整モデル「Gemini 3.5 Flash Cyber」を発表した。
- •同モデルは主要な競合モデルやClaude Opus 4.6を凌駕し、V8 JavaScript Engineにおいて55件の固有のセキュリティ問題を特定した。
- •Googleは本モデルをChrome、Android、Cloudなどの商用システムに導入し、重大な脆弱性を2時間以内に特定することに成功した。
Googleは、脆弱性の発見、検証、修正といったサイバーセキュリティ業務に最適化された軽量モデル「Gemini 3.5 Flash Cyber」を公開した。Gemini 3.5 Flashを基盤として構築されたこのモデルは、開発者やセキュリティチーム向けに、費用対効果が高く拡張性のあるソリューションを提供する。現在は、GoogleのセキュリティエージェントプラットフォームであるCodeMenderを通じて、政府機関や信頼できるパートナー限定のパイロットプログラムとして提供されており、順次拡大される予定である。
本モデルは、大規模なコードベースの複雑な実行パスを解析するよう最適化されている。高コストな単一呼び出しで処理が停滞しがちな一般的な大規模言語モデルとは異なり、このエージェントは3.5 Flash Cyberを複数回呼び出すことでコードをスキャンし、精度の高いセキュリティレポートを生成する。この処理能力により、CI/CDパイプラインや緊急性の高いセキュリティワークフローへの統合が可能となる。
ベンチマークテストでは、より大型の競合モデルに対する優位性が実証された。CyberGymベンチマークにおいて、CodeMenderがレポートごとに最大5回モデルを呼び出すことで高い性能を達成した。Googleのセキュリティ研究チーム「Big Sleep」による独立評価では、ChromeやSafariといった複雑なコード解析において、3.5 Flashや3.6 Flashの性能を上回った。特にV8 JavaScript Engineを用いたテストでは、3.5 Flash Cyberが55件の固有の脆弱性を特定し、メインライン版の3.5 Flash（47件）やClaude Opus 4.6（36件）の結果を大きく引き離した。
すでにGoogle社内ではChrome、Android、Cloud、Ads、YouTubeなどのシステム保護に本モデルが活用されている。特筆すべき事例として、Google Cloudの脆弱性研究チームは、このモデルを用いてリモートコード実行およびメモリ破損の脆弱性を2時間以内に特定した。その際、ASLRなどの標準的な保護機能を回避するエクスプロイト（攻撃コード）の生成にも成功している。今後は、70万件以上の脆弱性情報を保有するデータベースOSV.devや、10年分のOSS-Fuzzデータを活用し、実世界のセキュリティワークフローを通じてモデルの学習をさらに強化する方針である。