Qu'est-ce que Gemini 3.5 Flash Cyber ? Le modèle de chasse aux vulnérabilités à accès restreint de Google, expliqué.

Le 21 juillet 2026, Google DeepMind a annoncéGemini 3.5 Flash Cyber — le troisième et le plus inhabituel des trois modèles qu'elle a lancés ce jour-là, aux côtés du Gemini 3.6 Flash à usage général et du Gemini 3.5 Flash-Lite. Ce n'est pas un modèle général avec lequel vous pouvez discuter ou appeler depuis une API. C'est un spécialiste de la sécurité du code : un modèle affiné à partir de Gemini 3.5 Flash pour trouver, valider et corriger les vulnérabilités logicielles, fonctionnant au sein de l'agent CodeMender de Google. Et surtout, il est verrouillé — disponible uniquement pour les gouvernements et les « partenaires de confiance » dans le cadre d'un projet pilote à accès limité, sans disponibilité publique, sans inscription en libre-service et sans prix publié.

Cela le rend fondamentalement différent de ses homologues, qui sont généralement disponibles et facturés par token comme n'importe quel autre modèle sur une grille tarifaire. Flash Cyber n'a pas de grille tarifaire, car il n'a pas de produit public auquel la rattacher — il existe entièrement au sein d'un programme pilote cloisonné. Cet éclairage va plus loin que le titre : ce qu'est réellement Flash Cyber, lesquels de ses chiffres de performance sont véritablement indépendants par rapport aux propres tests internes de Google, comment fonctionnent réellement l'accès et la tarification, et à qui — réalistiquement — ce modèle est destiné.

Verdict en résumé.Gemini 3.5 Flash Cyber est un véritable modèle de sécurité de code verrouillé qui fonctionne dans CodeMender pour trouver et corriger les vulnérabilités logicielles. Il n'est pas en disponibilité générale, n'a pas d'API publique ni de tarification, et est réservé aux gouvernements et partenaires de confiance. Sur le seul benchmark tiers cité (CyberGym), il est rapporté à environ 83,2 %, en étroite proximité avec OpenAI GPT-5.5-Cyber (85,6 %) et Anthropic Mythos 5 (83,8 %) — l'avantage de Google est présenté comme une efficacité de coût, non comme un éclat de capacité. La plupart des autres affirmations de benchmark, y compris les chiffres de décompte des problèmes V8, sont des évaluations internes de Google.

Points clés

• C'est un spécialiste de la sécurité du code, conçu pour trouver, valider et corriger les vulnérabilités logicielles — pas un outil SOC/de renseignement sur les menaces ou de tri de malwares, et pas un chatbot général.

•  C'est en accès restreint, pas en GA. L'accès est limité aux gouvernements et partenaires de confiance via la plateforme CodeMender ; il n'y a pas d'API publique ni de prix par jeton publié.

•  Affiné à partir de Gemini 3.5 Flash, et déployé en tant qu'appels parallèles de sous-agents multiples par rapport de vulnérabilité (Google mentionne jusqu'à ~5), fusionnés en un seul résultat. La fenêtre de contexte n'est pas divulguée.

•  Un benchmark tiers. CyberGym ~83,2% (rapporté par la presse), contre GPT-5.5-Cyber 85,6% et Mythos 5 83,8%. Les autres résultats (Big Sleep, Chrome, V8) sont des évaluations internes de Google.

•  Double usage, délibérément. Un modèle aussi performant pour trouver des bugs exploitables est dangereux s'il est mal utilisé, donc la principale mesure de Google est le contrôle d'accès, plus l'approbation humaine avant toute correction et la validation en bac à sable des résultats.

• C'est un modèle différent de Sec-Gemini.Le modèle précédent et distinct de renseignement sur les menaces de Google traite de l'analyse des incidents et des causes profondes ; Flash Cyber se concentre étroitement sur la correction des vulnérabilités de code.

• C'est conçu pour les défenseurs, pas pour les développeurs. Les utilisateurs visés sont les équipes de sécurité de première ligne, les gouvernements et les partenaires d'entreprise vérifiés qui effectuent des recherches de vulnérabilité à grande échelle — explicitement pas les consommateurs ou les développeurs d'applications généralistes.

La plupart des chiffres de performance ici proviennent des propres évaluations internes de Google ; seul CyberGym est un véritable benchmark tiers, et même le chiffre spécifique de 83,2 % est mieux attribué à l'analyse de la presse qu'au texte textuel de Google — citez-le comme « reported ». Ne décrivez pas Flash Cyber comme généralement disponible et ne citez pas de prix par token ; il est soumis à restriction et non tarifé. Ne le confondez pas avec Sec-Gemini, le modèle distinct de renseignement sur les menaces de Google pour 2025.

Ce qu'est Gemini 3.5 Flash Cyber

« Cyber » désigne ici la sécurité du code et des logiciels — plus précisément la recherche, la confirmation et la correction de vulnérabilités dans le code source. Il ne s'agit pas d'un analyste d'opérations de sécurité, d'un assistant de renseignement sur les menaces ou d'un classificateur de logiciels malveillants, et il ne répond pas aux questions générales comme le ferait un modèle de chat. Il fonctionne au sein de CodeMender, l'agent d'IA de Google DeepMind dédié au correctif automatisé de sécurité du code (présenté pour la première fois en octobre 2025), plutôt que d'être vendu comme un produit de chat ou d'API autonome. Ce cadrage est important : Flash Cyber n'est pas un modèle que vous pointez vous-même sur une base de code, c'est un composant à l'intérieur d'un pipeline plus vaste et étroitement contrôlé que Google exploite pour le compte de ses partenaires pilotes.

En pratique, plusieurs sous-agents Flash Cyber s'exécutent en parallèle sur une base de code — Google mentionne jusqu'à environ cinq par rapport de vulnérabilité — et leurs résultats individuels sont fusionnés en un seul rapport consolidé. Il s'agit d'une architecture agentique multi-appel plutôt qu'un échange unique avec un chatbot, ce qui explique en grande partie pourquoi Google la présente comme compétitive face à des modèles bien plus gros : l'avantage provient de la manière dont elle est orchestrée, et pas nécessairement de la taille brute du modèle. Avant qu'un correctif ne soit livré, un humain l'approuve, et la vulnérabilité sous-jacente est validée dans un bac à sable — le modèle propose et trouve, mais ce sont les personnes et l'infrastructure qui contrôlent ce qui est réellement déployé.

Il est fine-tuné à partir de Gemini 3.5 Flash. Google n'a pas divulgué la taille de la fenêtre de contexte ou les capacités multimodales spécifiques à Flash Cyber, ce qui est en soi un indicateur : contrairement aux modèles Flash généralement disponibles, il n'y a pas de fiche technique à consulter. Ses utilisateurs prévus sont les défenseurs de première ligne, les gouvernements et les partenaires entreprises vérifiés qui effectuent des recherches de vulnérabilités et du tri de correctifs à grande échelle — explicitement pas les consommateurs ou les développeurs généraux, et explicitement pas un produit que vous pouvez ajouter à votre propre pile en vous inscrivant.

Analyse approfondie des benchmarks : ce que signifient les chiffres

Il n'existe qu'un seul benchmark tiers dans les annales, et il vaut la peine de comprendre ce qu'il teste réellement. CyberGym est un benchmark académique — construit par un groupe qui inclut Dawn Song de l'UC Berkeley — qui évalue les agents par rapport à plus de 1 500 vulnérabilités documentées réparties dans 188 projets open-source réels. C'est un banc d'essai réaliste et significatif : du vrai code, de vrais bugs historiques, pas des énigmes synthétiques. La couverture médiatique place Flash Cyber à environ 83,2 % sur CyberGym, contre 85,6 % pour OpenAI GPT-5.5-Cyber et 83,8 % pour Anthropic Mythos 5. C'est un groupe serré à trois, pas une avance écrasante pour quiconque — ce qui explique précisément pourquoi la communication de Google insiste sur le rapport coût-efficacité plutôt que sur le score brut. Notamment, le blog de Google ne fait que l'affirmation qualitative de « performances compétitives par rapport à des modèles significativement plus grands » ; le chiffre précis de 83,2 % provient de l'analyse de presse de l'annonce, et non du texte textuel de Google ou d'une entrée de classement public que vous pouvez vérifier vous-même.

Le résultat V8 est un type de nombre différent, et c'est entièrement une métrique propre à Google. Lors d'un test contre le moteur JavaScript V8, Google rapporte que Flash Cyber a trouvé 55 problèmes confirmés uniques, contre 47 pour le standard Gemini 3.5 Flash et 36 pour Claude Opus 4.6 — dont 10 problèmes qu'aucun autre modèle n'a détectés. Il s'agit d'une comparaison qui semble frappante car elle nomme un modèle concurrent spécifique et un nombre précis, mais c'est un test interne de Google réalisé sur sa propre infrastructure contre sa propre cible choisie. Aucune partie extérieure n'a effectué cette évaluation, publié sa méthodologie pour reproduction, ni vérifié les décomptes de manière indépendante. C'est un résultat réel que Google dit avoir observé — mais c'est une déclaration de fournisseur, pas une donnée vérifiée, et cette distinction importe plus ici que dans la plupart des rapports de benchmarks.

L'évaluation « Big Sleep » suit le même modèle à une résolution encore plus basse. En testant sur des bases de code complexes et réelles comme Chrome et Safari, Google affirme que Flash Cyber a « significativement surpassé » les versions principales Gemini 3.5 Flash et 3.6 Flash — mais il s'agit d'une affirmation qualitative sans chiffres précis, sans parler d'une vérification par un tiers. En mettant les trois résultats côte à côte, un schéma se dégage : le seul chiffre ayant une provenance externe (CyberGym) montre un groupe serré et sans particularité ; les deux victoires aux apparences plus éclatantes (V8, Big Sleep) sont toutes deux des évaluations par Google de son propre modèle par rapport à ses propres références choisies.

Ce schéma n’est pas propre à Google, mais il est ici plus difficile à corriger que d’habitude, car Flash Cyber est cloisonné. Avec un modèle ouvert, ou même accessible via une API, des chercheurs indépendants peuvent éventuellement relancer un benchmark et confirmer ou contester un chiffre du fournisseur — c’est ainsi que les affirmations gonflées sont généralement démasquées. Avec Flash Cyber, cette vérification est en grande partie impossible : les chercheurs externes n’ont tout simplement pas accès pour effectuer leur propre passage sur CyberGym, leur propre analyse V8, ou tout autre test sur le modèle réel. Même la certification tierce de CyberGym ne couvre que la conception du benchmark, pas une réexécution indépendante de Flash Cyber sur celui-ci — le score lui-même remonte toujours à la communication de Google. Tant que l’accès ne s’élargira pas au-delà du pilote actuel, toute affirmation de performance concernant ce modèle spécifique — qu’elle paraisse indépendante ou non — repose en fin de compte sur la confiance accordée au propre récit de Google.

Ne le confondez pas avec Sec-Gemini.

Google a plus d’un modèle de « sécurité », et ils sont faciles à confondre. Sec-Gemini (annoncé autour d’avril 2025) est un modèle expérimental distinct et antérieur, destiné aux workflows de threat intelligence — analyse des causes racines et des incidents, intégré à Google Threat Intelligence et à la base de données OSV. Si votre intérêt porte sur les cas d’utilisation SOC/threat-intel, Sec-Gemini — et non Flash Cyber — est la ligne pertinente. Flash Cyber se concentre étroitement sur la recherche et la correction des vulnérabilités de code, et il réside dans CodeMender.

Accès, tarification et comment obtenir réellement la capacité du modèle de sécurité

L'histoire de l'accès est simple, bien que peu utile pour la plupart des lecteurs : il n'y en a pas. Flash Cyber n'est pas vendu, n'a pas de prix indiqué et n'est accessible via aucune clé API que vous puissiez demander. La seule façon d'y entrer est d'être une agence gouvernementale ou un « partenaire de confiance » validé admis au programme pilote CodeMender — il n'y a pas d'inscription en libre-service, pas de formulaire d'attente garantissant l'entrée, et pas de grille tarifaire publiée, car il n'existe aucun produit public à tarifer. Google a déclaré que l'accès s'élargira avec le temps, mais n'a attaché ni calendrier ni date de disponibilité générale à cette déclaration, donc « éventuellement » est la réponse la plus précise actuellement enregistrée.

C’est un contraste frappant avec les propres homologues de Flash Cyber. Gemini 3.6 Flash et Gemini 3.5 Flash-Lite, annoncés le même jour, sont tous deux généralement disponibles et facturés par jeton comme tout autre modèle commercial. Flash Cyber appartient à une catégorie complètement différente — plus proche d’une capacité interne de Google qui se trouve avoir été divulguée publiquement que d’une gamme de produits. Le budget n’est pas la contrainte ici ; même une entreprise bien financée sans relation de recherche en sécurité avec Google n’a aucun moyen d’obtenir une clé API Flash Cyber aujourd’hui.

Alors, que font concrètement les équipes aujourd'hui si elles veulent l'aide de l'IA pour trouver et corriger des vulnérabilités dans leur propre code ? Pour l'immense majorité qui ne fait pas partie du programme pilote, la voie pratique consiste à utiliser des modèles frontières généralistes — ceux qui sont en disponibilité générale (GA) et tarifés — pour le même type de tâches : revue de code, triage de vulnérabilités, rédaction de correctifs, le tout encadré par votre propre relecture humaine et un bac à sable. C'est un outil fondamentalement différent d'un spécialiste conçu sur mesure pour cette tâche, mais c'est l'option accessible. Des agrégateurs comme OrcaRouter, qui donne accès à plus de 200 modèles via un seul point d'accès compatible OpenAI, sont la manière dont la plupart des équipes construisent aujourd'hui ce type de workflow de sécurité avec des modèles généralistes, plutôt que d'attendre un programme pilote restreint auquel elles ne seront peut-être jamais admises.

À qui cela s'adresse

Des défenseurs vérifiés dans le pilote. Si vous êtes une agence gouvernementale ou une organisation que Google a déjà reconnue comme partenaire de confiance, Flash Cyber est un outil véritablement conçu sur mesure : il fonctionne dans le workflow de CodeMender (découvrir-valider-approuver-correctif), son architecture parallèle de sous-agents est conçue pour analyser des bases de code réelles à grande échelle, et les propres tests de Google suggèrent qu'il est compétitif – voire, sur certaines mesures internes, en avance – sur des modèles généraux plus grands pour cette tâche spécifique. Pour ce public restreint, la proposition de valeur est réelle, même si certains chiffres à l'appui sont autodéclarés.

Tout le monde — c'est-à-dire presque tout le monde. Si vous êtes une équipe d'ingénieurs typique, un cabinet de conseil en sécurité sans partenariat Google, ou un chercheur individuel, Flash Cyber n'est tout simplement pas une option, peu importe à quel point votre cas d'utilisation semble adapté. Il n'existe aucun processus de candidature garanti pour fonctionner et aucun prix que vous puissiez payer pour y accéder. Votre chemin réaliste vers un travail de vulnérabilité assisté par IA aujourd'hui est un modèle frontalier généralement disponible — acheminé via quelque chose comme OrcaRouter si vous souhaitez une flexibilité entre fournisseurs — combiné à votre propre discipline de révision, puisque aucun de ces modèles généraux n'est doté des garde-fous intégrés d'approbation humaine et de validation en bac à sable de CodeMender.

Les équipes décident d'attendre ou non. Si votre organisation explore un partenariat avec Google spécifiquement pour obtenir un accès, il est judicieux de planifier en tenant compte du fait qu'aucune date de GA n'existe — traitez tout workflow de sécurité actuel comme devant s'exécuter sur des modèles généralement disponibles entre-temps, et revenez-y si et quand le pilote de Google s'étend. Miser une feuille de route sur un accès restreint sans calendrier annoncé est un risque que la plupart des équipes ne devraient pas prendre.

FAQ

Puis-je utiliser Gemini 3.5 Flash Cyber ?

Pas à moins que vous ne soyez un gouvernement approuvé ou un partenaire de confiance. Il s'agit d'un pilote à accès limité au sein de CodeMender, sans API publique, sans accès libre-service et sans tarification publiée. Google indique que l'accès s'élargira avec le temps, mais n'a donné aucune date de GA.

Qu'est-ce qu'il fait réellement ?

Il trouve, valide et corrige les vulnérabilités logicielles dans le code source, fonctionnant comme des sous-agents parallèles dont les résultats sont fusionnés dans un rapport. Un humain approuve chaque correctif, et les vulnérabilités sont validées dans un bac à sable avant d'être signalées.

Comment se compare-t-il aux modèles cyber d'OpenAI et d'Anthropic ?

Sur le seul benchmark partagé par un tiers (CyberGym), les trois sont très proches : Flash Cyber ~83,2 %, Anthropic Mythos 5 83,8 %, OpenAI GPT-5.5-Cyber 85,6 %. Google positionne son avantage comme étant le rapport coût-efficacité plutôt que le score brut le plus élevé. Les trois sont réservés aux organisations vérifiées.

Quelles sont ses spécifications ?

Il est affiné à partir de Gemini 3.5 Flash. Google n'a pas publié sa fenêtre de contexte, sa multimodalité, ni le nombre de paramètres pour Flash Cyber en particulier.

Est-ce dangereux / à double usage ?

Google reconnaît le risque de double usage — un modèle performant pour trouver des bugs exploitables pourrait être utilisé de manière offensive — et cite le contrôle d'accès comme principale mesure d’atténuation, accompagné de l’approbation humaine des correctifs et de la validation en bac à sable des résultats.

Le score CyberGym est-il vérifié indépendamment ?

CyberGym elle-même est un véritable benchmark académique tiers. Mais le chiffre spécifique de 83,2 % attribué à Flash Cyber provient de rapports de presse sur l'annonce de Google, et non du texte textuel de Google lui-même ou d'une entrée publique en direct d'un classement ; et comme le modèle est verrouillé, aucun tiers externe ne peut actuellement le réexécuter. Considérez ce chiffre comme rapporté, et non comme confirmé de manière indépendante.

Quand est-ce que Flash Cyber sera généralement disponible ?

Google n'a pas dit. Il a déclaré que l'accès s'étendra avec le temps au-delà du pilote actuel de gouvernements et de partenaires de confiance, mais aucune date de GA ni calendrier n'a été publié, donc il n'y a encore rien de concret autour duquel planifier.

En résumé

Gemini 3.5 Flash Cyber est un outil étroit et sérieux : un modèle de sécurité code qui traque et corrige les vulnérabilités au sein de CodeMender, réservé aux gouvernements et partenaires de confiance. Il est véritablement performant sur le seul benchmark indépendant disponible, mais se situe dans un groupe serré avec les modèles cyber d'OpenAI et d'Anthropic, sans pour autant prendre l'avantage, et la quasi-totalité de ses chiffres remarquables proviennent des propres évaluations internes de Google. Si vous n'êtes pas un partenaire vérifié, vous ne pouvez pas l'utiliser — et pour les travaux généraux liés à la sécurité sur votre propre code, les modèles de frontière accessibles restent la voie pratique. Les comparaisons ci-dessous le positionnent face à ses deux véritables rivaux.