Gemini 4 Carbon, Google porta gli agenti AI nella caccia alle falle

Trovare una vulnerabilità, verificare se può essere sfruttata e scrivere una correzione: Google presenta un modello di intelligenza artificiale capace di affrontare tutte e tre le operazioni. Si chiama Gemini 4 Carbon ed è stato annunciato il 28 ottobre 2026. Nei test pubblicati dall’azienda ottiene l’88,2% nella ricerca delle falle, il 54,8% nella loro verifica attraverso exploit e il 71% nella generazione di patch. Sono risultati che potrebbero accelerare la difesa del software, ma la capacità di costruire prove di sfruttamento interessa anche chi prepara gli attacchi.

Google ha scelto perciò un rilascio iniziale riservato a un gruppo ristretto di professionisti della sicurezza, prima di estendere l’accesso a partner fidati e successivamente al mercato. È un limite sostanziale per le aziende: oggi Carbon è un modello annunciato e sottoposto a sperimentazione controllata, non uno strumento già utilizzabile liberamente attraverso le normali API. I dettagli sono nel comunicato ufficiale di Google.

L’annuncio arriva appena un giorno dopo una dimostrazione che rende concreto il problema del doppio uso. Il 27 ottobre Anthropic ha documentato cinque catene di attacco costruite con un proprio modello sperimentale contro software diffusissimi, fra cui Chrome, Safari, Android, Windows e Linux. La ricerca è stata coordinata con i produttori per la correzione delle falle.

Letti insieme, i due annunci mostrano quanto si stia accorciando il percorso dalla scoperta di un difetto alla possibilità di utilizzarlo, e quanto diventi importante anticipare gli attaccanti con patch efficaci.

Dalla ricerca della falla alla patch: che cosa misura Google

La distinzione tecnica decisiva è fra tre fasi. Un programma può contenere un errore, ma scoprirlo non dimostra ancora che sia sfruttabile: occorre capire quali condizioni lo attivino e se consentano davvero un effetto indesiderato. Una volta accertato il rischio, la correzione deve eliminare la causa senza interrompere le funzioni legittime dell’applicazione. È su questa sequenza che Google ha costruito la presentazione di Carbon.

Nel benchmark SEC-bench Pro, sviluppato su casi di sicurezza del software reale, il modello deve affrontare compiti di analisi e generazione di prove tecniche. ExploitGym verifica la capacità di produrre risultati di sfruttamento in un ambiente di test; CWE-bench valuta la capacità degli agenti di chiudere vulnerabilità del codice conservandone il funzionamento. Il progetto SEC-bench Pro e lo studio CWE-bench di Collinear illustrano perché prove di attacco e qualità della correzione sono problemi differenti.

Le tre prove cyber: Carbon rispetto a Gemini 4 Argon

Fonte: Google DeepMind, tabella comparativa Gemini 4 Carbon, 28 ottobre 2026. Valori dichiarati da Google su tre test distinti, eseguiti senza i filtri di sicurezza; le percentuali non misurano la quota di sistemi reali protetti.

Il salto più pronunciato rispetto a Gemini 4 Argon, il predecessore recente, riguarda ExploitGym: dal 42 al 54,8%, cioè 12,8 punti percentuali in più. Nella correzione il miglioramento è più contenuto, dal 68 al 71%. La differenza conta: per un difensore può essere relativamente rapido dimostrare che una falla esiste, mentre eliminarla in tutti i punti del programma dove ricorre richiede ulteriori verifiche.

Queste percentuali vanno interpretate correttamente. Provengono dalle valutazioni pubblicate da Google e sono state ottenute senza i normali filtri di sicurezza. I tre test utilizzano compiti e denominatori differenti; il 71% di CWE-bench, per esempio, non significa che Carbon possa rendere sicuro il 71% di qualsiasi software aziendale. Le prestazioni nelle configurazioni distribuite ai clienti andranno misurate separatamente.

Un riscontro esterno esiste sulle prestazioni generali. Artificial Analysis ha assegnato a Carbon 59 punti sul suo Intelligence Index 5.0, il miglior risultato nella valutazione del 28 ottobre, davanti ai 58 di Claude Opus 5.5. Nel test specifico per agenti di programmazione, tuttavia, Claude Opus 5.5 resta davanti: 62 punti contro i 59 di Carbon. La classifica generale indipendente conferma la competitività del modello, mentre i tre primati strettamente cyber restano numeri dichiarati da Google.

La prova di Anthropic: cinque catene di attacco su software reale

Per capire il significato operativo della fase di exploit basta guardare alla ricerca pubblicata da Anthropic il 27 ottobre. In una delle dimostrazioni il modello sperimentale ha combinato più vulnerabilità di Chrome fino a ottenere l’esecuzione di codice al di fuori dell’ambiente isolato del browser. L’esempio rende tangibile la distanza tra individuare un singolo bug e costruire una sequenza capace di superare diverse barriere di sicurezza.

Su Safari, invece, i ricercatori hanno ricostruito una catena che consentiva a una pagina web malevola di aggirare l’isolamento tra siti e accedere a dati di altre sessioni, come cronologia, cookie e informazioni di servizi ai quali l’utente era già collegato. Il danno possibile nasce dall’insieme delle debolezze: alcuni passaggi sfruttano comportamenti che, presi separatamente, non basterebbero a compromettere il sistema.

Anthropic ha segnalato le vulnerabilità ai rispettivi produttori. Per Chrome riferisce che, entro la versione 156, erano state assegnate e corrette 62 vulnerabilità classificate ad alta gravità o critiche nella ricerca, comprese 13 vie di fuga dalle sandbox. Il materiale pubblicato descrive prove controllate, non attacchi criminali osservati. Mostra però perché la disponibilità di agenti capaci di concatenare più passaggi potrebbe ridurre il tempo necessario a chi cerca un punto di ingresso.

La stessa automazione può aiutare i team di sicurezza a trovare la catena prima degli avversari, verificare che sia davvero percorribile e correggere il sistema. È questa simmetria tra capacità offensive e difensive a spiegare perché le aziende produttrici stiano introducendo forme di accesso selettivo ai modelli più avanzati.

Fairwind: perché Carbon viene distribuito prima ai difensori

Google farà arrivare Gemini 4 Carbon ai primi professionisti cyber attraverso un percorso graduale collegato al Fairwind Program, il programma per governi, operatori di infrastrutture critiche e partner selezionati. Il principio è dare un vantaggio iniziale ai difensori, consentendo loro di individuare e correggere problemi prima che capacità simili si diffondano più ampiamente.

Le regole pubblicate per Fairwind prevedono verifiche sui soggetti ammessi, accessi nominativi, autenticazione a più fattori resistente al phishing e tracciamento dell’uso. Le attività a doppio uso, come simulazioni di minacce, analisi di malware e reverse engineering, devono avere scopi difensivi o di ricerca autorizzata. Il programma vieta anche di condividere o rivendere l’accesso ai modelli di frontiera. La pagina pubblica descrive soprattutto le modalità già previste per Gemini 4 Argon; i dettagli contrattuali specifici di Carbon andranno verificati presso Google.

Accanto alle limitazioni sull’accesso, Google dichiara miglioramenti delle protezioni contro le istruzioni malevole inserite nei contenuti letti dagli agenti, le cosiddette prompt injection. Carbon avrebbe registrato zero attacchi riusciti nel test Gray Swan Indirect Prompt Injection utilizzato dall’azienda: un risultato relativo a quella specifica valutazione, che non dimostra l’impossibilità di manipolare un agente in altre condizioni. Google segnala inoltre controlli in tempo reale e sistemi di monitoraggio del comportamento del modello.

Per la futura distribuzione commerciale Google indica un prezzo introduttivo di 2 dollari per milione di token in ingresso e 10 in uscita, destinato a diventare 4 e 20 dollari al termine della promozione. L’ingresso letto dalla cache prevede uno sconto dichiarato del 95%. Il listino annunciato è utile a capire la strategia commerciale, ma non costituisce un costo operativo già osservabile per una normale azienda italiana, dato che l’accesso pubblico non è ancora aperto.

Cosa cambia per aziende, sviluppatori e responsabili della sicurezza

Per un’azienda che sviluppa o mantiene software, il beneficio potenziale è preciso: ridurre il tempo che separa una segnalazione di vulnerabilità da una correzione collaudata. Un agente autorizzato potrebbe analizzare un repository, ricostruire le condizioni nelle quali un difetto è sfruttabile, provarle in un laboratorio isolato e proporre una modifica sottoposta ai normali test prima dell’approvazione umana. È una possibile evoluzione dei processi di Application Security, ancora da misurare su implementazioni reali di Carbon.

L’adozione richiederà controlli altrettanto concreti. Un agente che legge il codice può incontrare credenziali, configurazioni e istruzioni ostili contenute nei file, nelle segnalazioni di bug o nelle dipendenze software. Ambienti di prova separati, permessi minimi e registri delle operazioni servono a impedire che un test di sfruttamento raggiunga sistemi di produzione o che il modello esegua comandi non autorizzati. Le patch proposte devono passare per revisione del codice, test di regressione e autorizzazione prima della distribuzione.

Il problema di fondo è la velocità. Se gli strumenti di ricerca automatizzata riescono a costruire prove di sfruttamento in meno tempo, il ritardo fra scoperta, segnalazione e installazione degli aggiornamenti pesa di più. Gli esperimenti di Google e Anthropic offrono segnali significativi, ma restano diversi per modello, contesto e metodologia.

La misura decisiva per le organizzazioni sarà quante vulnerabilità importanti riusciranno a correggere in sicurezza, e quanto rapidamente, quando questi agenti entreranno davvero nei processi di sviluppo e difesa.