Gemini 4 Carbon llega primero a los defensores: el acceso restringido es parte del producto

El modelo frontera más reciente de Google tiene precio de producto general y distribución de producto controlado. Gemini 4 Carbon, anunciado el 28 de octubre, cuesta US$ 2 por millón de tokens de entrada y US$ 10 por millón de tokens de salida con su tarifa introductoria. Pero esta semana solo un subconjunto de defensores de ciberseguridad puede usarlo.

Esa brecha entre la lista de precios y la lista de acceso es el dato más práctico del anuncio. Es la segunda vez en dos días que un laboratorio muestra capacidad de seguridad de nivel ofensivo y la acompaña de una distribución restringida, después de la investigación de cadenas de exploit de Anthropic. Para los equipos de seguridad empresarial, el acceso se está convirtiendo en algo que se solicita, no en algo que se compra.

Lo que reporta Google

Google describe Carbon como su modelo más fuerte para ciberseguridad y para trabajo de horizonte largo, es decir, tareas de programación e investigación que se ejecutan durante mucho tiempo. Sus resultados reportados:

• Hallazgo de vulnerabilidades: 88,2% en SEC-bench Pro.
• Explotación: 54,8% en ExploitGym.
• Parcheo: 71,0% en CWE-bench.
• General: una puntuación de 59 en el Artificial Analysis Intelligence Index v5.0, en primer lugar.
• Robustez: 0,0% de éxito de ataque en la evaluación de inyección indirecta de prompt de Gray Swan, y el benchmark cheating en Terminal-Bench 4.0 reducido a 0,0%.

Google dice que los benchmarks de seguridad se ejecutaron sin guardrails. Frente a Gemini 4 Argon, publicado dos semanas antes con el mismo precio introductorio, reporta más del doble de tasa de éxito en código seguro en benchmarks internos, cerca de la mitad de afirmaciones sin respaldo y una caída del éxito de inyección de prompt del 0,7% al 0,0%.

Todas son mediciones del propio Google. Un cero en una evaluación de inyección de prompt significa que fallaron los ataques de esa evaluación; no significa que el modelo no se pueda manipular. Conviene tratar las cifras como un motivo para probar, no como resultados de prueba.

Quién puede usarlo y cuándo

El acceso comienza esta semana con defensores de ciberseguridad seleccionados. Se van sumando socios de confianza de forma gradual a través del Fairwind Program de Google, y Google dice que Carbon llegará a desarrolladores, empresas y consumidores “pronto”, sin fecha. Terminado el periodo introductorio, los precios suben a US$ 4 por millón de tokens de entrada y US$ 20 por millón de tokens de salida; la entrada en caché es 95% más barata.

Se derivan dos consecuencias. Primera: si su equipo de seguridad quiere acceso temprano, el trabajo relevante es una solicitud al programa, con la relación con el proveedor, el caso de uso y los controles que pide, no una solicitud de compra. Segunda: un presupuesto construido sobre el precio introductorio se quedará corto en la mitad cuando termine el periodo, y eso pesa sobre todo en el trabajo de larga duración para el que Carbon está diseñado.

Los horizontes largos exigen límites por escrito

Un modelo que investiga durante horas cambia la unidad que se gestiona. La pregunta deja de ser si una respuesta concreta era correcta y pasa a ser qué podía hacer, gastar y tocar una ejecución antes de que alguien la mirara. Antes de poner en producción cualquier agente de seguridad de larga duración, deje por escrito:

1. Un techo de gasto por ejecución, calculado con la tarifa posterior al periodo introductorio.
2. El alcance que puede escanear, como una lista de repositorios, hosts o entornos, aplicada fuera del prompt.
3. Qué cuenta como hallazgo, y quién lo confirma antes de que se convierta en un ticket, porque generar hallazgos es ahora más barato que confirmarlos.
4. Una regla de parada: tiempo transcurrido o tokens tras los cuales la ejecución se pausa para revisión.

Las cifras internas de Google dicen que las alertas de desalineación de alta severidad cayeron cerca de 80% en pruebas de programación en vivo. Es una dirección bienvenida y un recordatorio de que las alertas existen. Un despliegue con acceso restringido da a los equipos de seguridad unas semanas para fijar sus límites antes de que el modelo llegue a todos; esa es la ventana que hay que usar.