Apa Itu Gemini 3.5 Flash Cyber? Model Perburuan Kerentanan Terkendali Google, Dijelaskan

Pada 21 Juli 2026, Google DeepMind mengumumkan Gemini 3.5 Flash Cyber — model ketiga dan paling tidak biasa dari tiga model yang dirilis hari itu, bersama dengan Gemini 3.6 Flash tujuan umum dan Gemini 3.5 Flash-Lite. Ini bukan model umum yang bisa Anda ajak bicara atau panggil dari API. Ini adalah spesialis keamanan kode: model yang disempurnakan dari Gemini 3.5 Flash untuk menemukan, memvalidasi, dan menambal kerentanan perangkat lunak, berjalan di dalam agen CodeMender milik Google. Dan yang terpenting, ini dibatasi — hanya tersedia untuk pemerintah dan “mitra tepercaya” dalam pilot akses terbatas, tanpa ketersediaan publik, tanpa pendaftaran mandiri, dan tanpa harga yang dipublikasikan.

Hal itu menjadikannya sangat berbeda dari saudara-saudaranya, yang umumnya tersedia dan dihargai per token seperti model lainnya dalam lembar harga. Flash Cyber tidak memiliki lembar harga, karena tidak memiliki produk publik untuk dilampirkan — ia sepenuhnya berada di dalam program percontohan tertutup. Penjelasan ini lebih dalam dari sekadar judul: apa sebenarnya Flash Cyber, angka kinerja mana yang benar-benar independen versus pengujian internal Google sendiri, bagaimana situasi akses dan harga sebenarnya bekerja, dan untuk siapa — secara realistis — model ini dibuat.

Kesimpulan TL;DR. Gemini 3.5 Flash Cyber adalah model keamanan kode nyata yang terkendali dan berjalan di dalam CodeMender untuk menemukan dan memperbaiki kerentanan perangkat lunak. Model ini belum GA (tersedia secara umum), tidak memiliki API publik atau harga, dan dibatasi untuk pemerintah dan mitra tepercaya. Pada satu benchmark pihak ketiga yang disebutkan (CyberGym), dilaporkan sekitar ~83,2%, berdekatan dengan OpenAI's GPT-5.5-Cyber (85,6%) dan Anthropic's Mythos 5 (83,8%) — keunggulan Google dikaitkan dengan efisiensi biaya, bukan lonjakan kemampuan. Sebagian besar klaim benchmark lainnya, termasuk angka jumlah isu V8, adalah evaluasi internal Google sendiri.

Poin-poin penting

•  Ini adalah spesialis keamanan kode, yang disetel untuk menemukan, memvalidasi, dan menambal kerentanan perangkat lunak — bukan alat SOC/intelijen ancaman atau triage malware, dan bukan chatbot umum.

•  Ini bersifat gated, bukan GA. Akses dibatasi untuk pemerintah dan mitra tepercaya melalui platform CodeMender; tidak ada API publik dan tidak ada harga per-token yang dipublikasikan.

•  Disempurnakan dari Gemini 3.5 Flash, dan diterapkan sebagai beberapa panggilan sub-agen paralel per laporan kerentanan (Google menyebutkan hingga ~5), digabungkan menjadi satu hasil. Jendela konteks tidak diungkapkan.

• Satu tolok ukur pihak ketiga. CyberGym ~83.2% (dilaporkan pers), vs GPT-5.5-Cyber 85.6% dan Mythos 5 83.8%. Hasil lainnya (Big Sleep, Chrome, V8) adalah evaluasi internal Google sendiri.

•  Penggunaan ganda, dengan sengaja. Model yang sebaik ini dalam menemukan bug yang dapat dieksploitasi berbahaya jika disalahgunakan, sehingga mitigasi utama Google adalah kontrol akses, ditambah persetujuan manusia sebelum setiap tambalan dan validasi temuan dalam lingkungan terisolasi.

•  Ini adalah model yang berbeda dari Sec-Gemini. Model intelijen ancaman terpisah dan sebelumnya dari Google menangani analisis insiden dan akar penyebab; Flash Cyber secara sempit tentang menambal kerentanan kode.

• Ini dibangun untuk pembela, bukan pengembang. Pengguna yang dituju adalah tim keamanan garis depan, pemerintah, dan mitra perusahaan terverifikasi yang melakukan penelitian kerentanan secara berskala besar — secara eksplisit bukan konsumen atau pengembang aplikasi umum.

Sebagian besar angka performa di sini adalah evaluasi internal Google sendiri; hanya CyberGym yang merupakan tolok ukur pihak ketiga yang asli, dan bahkan angka spesifik 83,2% itu lebih baik dirujuk ke analisis pers daripada teks verbatim Google — kutip sebagai "dilaporkan." Jangan deskripsikan Flash Cyber sebagai tersedia secara umum atau kutip harga per-token; itu masih terbatas dan tidak memiliki harga. Jangan bingung dengan Sec-Gemini, model intelijen ancaman terpisah Google tahun 2025.

Apa itu Gemini 3.5 Flash Cyber

“Siber” di sini berarti keamanan kode dan perangkat lunak — khususnya menemukan, mengonfirmasi, dan memperbaiki kerentanan dalam kode sumber. Ini bukan analis operasi keamanan, asisten intelijen ancaman, atau pengklasifikasi malware, dan tidak menjawab pertanyaan umum seperti yang dilakukan model obrolan. Ini berjalan di dalam CodeMender, agen AI Google DeepMind untuk penambalan keamanan kode secara otomatis (pertama kali diperkenalkan pada Oktober 2025), bukan dijual sebagai produk obrolan atau API yang berdiri sendiri. Kerangka itu penting: Flash Cyber bukanlah model yang Anda arahkan sendiri ke basis kode, melainkan komponen di dalam pipeline yang lebih besar dan terkontrol ketat yang dioperasikan Google atas nama mitra percontohannya.

Dalam praktiknya, beberapa sub-agen Flash Cyber berjalan secara paralel pada basis kode — Google menyebutkan sebanyak kira-kira lima per laporan kerentanan — dan temuan individu mereka digabungkan menjadi satu laporan yang terkonsolidasi. Itu adalah arsitektur agentik multi-panggilan daripada pertukaran chatbot satu kali, yang merupakan bagian besar mengapa Google menggambarkannya sebagai kompetitif melawan model yang jauh lebih besar: keuntungannya berasal dari bagaimana ia diatur, belum tentu dari ukuran model mentah. Sebelum perbaikan apa pun dikirim, seorang manusia menyetujuinya, dan kerentanan yang mendasarinya divalidasi dalam sandbox — model mengusulkan dan menemukan, tetapi manusia dan infrastruktur yang mengatur apa yang sebenarnya diterapkan.

Model ini disempurnakan dari Gemini 3.5 Flash. Google belum mengungkapkan ukuran jendela konteks atau kemampuan multimodal yang spesifik untuk Flash Cyber, yang merupakan indikator tersendiri: tidak seperti model Flash yang tersedia secara umum, tidak ada lembar spesifikasi yang dapat diperiksa. Pengguna yang dituju adalah pembela garis depan, pemerintah, dan mitra perusahaan yang telah terverifikasi yang melakukan penelitian kerentanan dan triage patch dalam skala besar — secara eksplisit bukan konsumen atau pengembang umum, dan secara eksplisit bukan produk yang dapat Anda tambahkan ke tumpukan Anda sendiri dengan mendaftar.

Pendalaman tolok ukur: apa arti angka-angka tersebut

Hanya ada satu tolok ukur pihak ketiga dalam catatan, dan penting untuk memahami apa yang sebenarnya diujinya. CyberGym adalah tolok ukur akademis — dibangun oleh kelompok yang mencakup Dawn Song dari UC Berkeley — yang mengevaluasi agen terhadap lebih dari 1.500 kerentanan yang terdokumentasi di 188 proyek sumber terbuka nyata. Itu adalah tempat uji yang realistis: kode nyata, bug historis nyata, bukan teka-teki sintetis. Liputan pers menempatkan Flash Cyber pada sekitar 83,2% di CyberGym, dibandingkan dengan GPT-5.5-Cyber milik OpenAI pada 85,6% dan Mythos 5 milik Anthropic pada 83,8%. Itu adalah kelompok tiga yang ketat, bukan keunggulan yang jauh dari siapa pun — itulah sebabnya pesan Google sendiri lebih menekankan efisiensi biaya daripada skor mentah. Perlu dicatat, blog Google hanya membuat klaim kualitatif tentang “competitive performance against significantly larger models”; angka pasti 83,2% berasal dari analisis pers tentang pengumuman tersebut, bukan dari teks asli Google atau entri papan peringkat publik yang dapat Anda periksa sendiri.

Hasil V8 adalah jenis angka yang berbeda, dan sepenuhnya merupakan metrik milik Google sendiri. Dalam pengujian terhadap mesin JavaScript V8, Google melaporkan bahwa Flash Cyber menemukan 55 masalah unik yang terkonfirmasi, dibandingkan dengan 47 untuk Gemini 3.5 Flash standar dan 36 untuk Claude Opus 4.6 — termasuk 10 masalah yang tidak ditemukan oleh model lain. Perbandingan itu terdengar mencolok karena menyebutkan model pesaing tertentu dan angka spesifik, tetapi ini adalah pengujian internal Google yang dijalankan di infrastruktur Google sendiri terhadap target pilihan Google sendiri. Tidak ada pihak luar yang menjalankan evaluasi ini, mempublikasikan metodologinya untuk replikasi, atau memverifikasi angka-angka tersebut secara independen. Ini adalah hasil nyata yang menurut Google telah diamati — tetapi ini adalah klaim vendor, bukan klaim yang diaudit, dan perbedaan ini lebih penting di sini daripada di kebanyakan pelaporan tolok ukur.

Evaluasi "Big Sleep" mengikuti pola yang sama pada resolusi yang lebih rendah. Menguji terhadap basis kode dunia nyata yang kompleks seperti Chrome dan Safari, Google mengatakan Flash Cyber "secara signifikan melampaui" Gemini 3.5 Flash dan 3.6 Flash utama — tetapi itu adalah klaim kualitatif tanpa angka pasti, apalagi pihak ketiga yang memeriksa perbandingannya. Tumpuk ketiga hasil tersebut berdampingan dan sebuah pola muncul: satu angka dengan asal luar (CyberGym) menunjukkan kelompok yang ketat dan biasa saja; dua kemenangan yang terdengar lebih cemerlang (V8, Big Sleep) keduanya adalah Google yang menilai modelnya sendiri terhadap basis acuan yang dipilih sendiri oleh Google.

Pola itu tidak unik untuk Google, tetapi lebih sulit untuk diperbaiki di sini daripada biasanya, karena Flash Cyber bersifat tertutup. Dengan model yang terbuka atau bahkan dapat diakses melalui API, peneliti independen pada akhirnya dapat menjalankan ulang sebuah tolok ukur dan mengonfirmasi atau menyanggah angka vendor — begitulah klaim yang terlalu tinggi biasanya terungkap. Dengan Flash Cyber, pengecekan itu sebagian besar tidak dapat terjadi: peneliti luar tidak memiliki akses untuk menjalankan tes CyberGym mereka sendiri, V8 sweep mereka sendiri, atau tes lainnya terhadap model yang sebenarnya. Bahkan reputasi pihak ketiga CyberGym hanya mencakup desain tolok ukur, bukan pengujian ulang independen Flash Cyber terhadapnya — skornya sendiri masih merujuk kembali ke pengungkapan Google. Sampai akses diperluas melampaui uji coba saat ini, setiap klaim kinerja tentang model khusus ini — baik terdengar independen atau tidak — pada akhirnya bergantung pada kepercayaan terhadap laporan Google sendiri.

Jangan bingungkan dengan Sec-Gemini

Google memiliki lebih dari satu model "keamanan", dan mudah untuk tercampur aduk. Sec-Gemini (diumumkan sekitar April 2025) adalah model eksperimental terpisah yang lebih awal, ditujukan untuk alur kerja intelijen ancaman — analisis akar masalah dan insiden, terintegrasi dengan Google Threat Intelligence dan database OSV. Jika minat Anda adalah kasus penggunaan SOC/intel-ancaman, maka Sec-Gemini — bukan Flash Cyber — adalah jalur yang relevan. Flash Cyber secara sempit berfokus pada menemukan dan memperbaiki kerentanan kode, dan berada di dalam CodeMender.

Akses, harga, dan cara sebenarnya mendapatkan kemampuan model keamanan

Kisah aksesnya sederhana, meski tidak membantu bagi kebanyakan pembaca: tidak ada akses. Flash Cyber tidak dijual, tidak tercantum dengan harga, dan tidak dapat dijangkau melalui kunci API apa pun yang bisa Anda minta. Satu-satunya cara masuk adalah dengan menjadi lembaga pemerintah atau "mitra tepercaya" yang telah terverifikasi dan diterima dalam program percontohan CodeMender — tidak ada pendaftaran mandiri, tidak ada formulir daftar tunggu yang menjamin masuk, dan tidak ada lembar harga yang dipublikasikan, karena tidak ada produk publik yang bisa diberi harga. Google telah mengatakan akses akan diperluas seiring waktu, tetapi belum memberikan garis waktu atau tanggal GA untuk pernyataan itu, sehingga "suatu saat nanti" adalah jawaban paling spesifik yang tercatat saat ini.

Itu kontras tajam dengan saudara-saudari Flash Cyber sendiri. Gemini 3.6 Flash dan Gemini 3.5 Flash-Lite, yang diumumkan pada hari yang sama, keduanya tersedia secara umum dan dibanderol per token seperti model komersial lainnya. Flash Cyber berada dalam kategori yang sama sekali berbeda — lebih dekat ke kemampuan internal Google yang kebetulan telah diungkapkan ke publik daripada ke lini produk. Anggaran bukanlah kendala di sini; bahkan perusahaan dengan dana besar yang tidak memiliki hubungan penelitian keamanan dengan Google tidak memiliki jalan untuk mendapatkan kunci API Flash Cyber saat ini.

Jadi, apa yang sebenarnya dilakukan tim jika mereka ingin bantuan AI untuk menemukan dan memperbaiki kerentanan dalam kode mereka sendiri saat ini? Bagi mayoritas besar yang tidak berada di dalam pilot, jalur praktisnya adalah menjalankan model frontier tujuan umum — jenis yang sudah GA dan memiliki harga — untuk jenis pekerjaan yang sama: peninjauan kode, triase kerentanan, penyusunan tambalan, dengan tinjauan manusia dan sandboxing di sekitarnya. Itu adalah alat yang berbeda secara material dibandingkan dengan spesialis yang dibangun khusus untuk tugas ini, tetapi itu adalah opsi yang dapat diakses. Agregator seperti OrcaRouter, yang berada di belakang 200+ model pada satu titik akhir yang kompatibel dengan OpenAI, adalah cara sebagian besar tim menyusun alur kerja keamanan model umum semacam itu saat ini daripada menunggu pilot terbatas yang mungkin tidak pernah mereka ikuti.

Untuk siapa

Pembela yang telah terverifikasi di dalam pilot. Jika Anda adalah lembaga pemerintah atau organisasi yang telah diakui Google sebagai mitra tepercaya, Flash Cyber adalah alat yang benar-benar dirancang untuk tujuan tertentu: ia berjalan dalam alur kerja discover-validate-approve-patch milik CodeMender, arsitektur sub-agen paralelnya dirancang untuk memindai basis kode nyata dalam skala besar, dan pengujian Google sendiri menunjukkan bahwa ia kompetitif — atau pada beberapa metrik internal lebih unggul dari — model umum yang lebih besar pada tugas spesifik ini. Untuk audiens yang sempit ini, proposisi nilainya nyata meskipun beberapa angka pendukung dilaporkan sendiri.

Setiap orang lainnya — yang hampir semua orang. Jika Anda adalah tim teknik yang tipikal, konsultan keamanan tanpa kemitraan Google, atau peneliti individu, Flash Cyber sama sekali bukan pilihan terlepas dari seberapa cocok kasus penggunaan Anda terdengar. Tidak ada proses aplikasi yang dijamin berhasil dan tidak ada harga yang bisa Anda bayar untuk membukanya. Jalur realistis Anda menuju pekerjaan kerentanan berbantuan AI saat ini adalah model frontier yang tersedia secara umum — dialihkan melalui sesuatu seperti OrcaRouter jika Anda menginginkan fleksibilitas lintas penyedia — dikombinasikan dengan disiplin tinjauan Anda sendiri, karena tidak ada model umum yang dilengkapi dengan pagar pengaman persetujuan manusia dan validasi sandbox bawaan CodeMender.

Tim yang memutuskan apakah akan menunggu. Jika organisasi Anda sedang menjajaki jalur kemitraan dengan Google khusus untuk mendapatkan akses, ada baiknya merencanakan fakta bahwa tidak ada tanggal GA yang ada — perlakukan alur kerja keamanan saat ini sebagai perlu dijalankan pada model yang tersedia secara umum sementara itu, dan tinjau kembali jika dan ketika pilot Google diperluas. Mempertaruhkan peta jalan pada akses terbatas tanpa jadwal yang diumumkan adalah risiko yang tidak boleh diambil oleh sebagian besar tim.

FAQ

Bisakah saya menggunakan Gemini 3.5 Flash Cyber?

Tidak, kecuali Anda adalah pemerintah yang telah terverifikasi atau mitra tepercaya. Ini adalah pilot akses terbatas di dalam CodeMender, tanpa API publik, tanpa akses mandiri, dan tanpa harga yang dipublikasikan. Google mengatakan akses akan diperluas seiring waktu tetapi belum memberikan tanggal GA.

Apa yang sebenarnya dilakukannya?

Ia menemukan, memvalidasi, dan menambal kerentanan perangkat lunak dalam kode sumber, berjalan sebagai sub-agen paralel yang temuan-temuannya digabungkan ke dalam sebuah laporan. Seorang manusia menyetujui setiap tambalan, dan kerentanan divalidasi dalam sandbox sebelum dilaporkan.

Bagaimana perbandingannya dengan model siber milik OpenAI dan Anthropic?

Pada satu tolok ukur pihak ketiga yang digunakan bersama (CyberGym), ketiganya berdekatan: Flash Cyber ~83.2%, Anthropic Mythos 5 83.8%, OpenAI GPT-5.5-Cyber 85.6%. Google memposisikan keunggulannya sebagai efisiensi biaya daripada skor mentah tertinggi. Ketiganya hanya dapat diakses oleh organisasi yang telah diverifikasi.

Apa spesifikasinya?

Ini disetel halus dari Gemini 3.5 Flash. Google belum mempublikasikan jendela konteks, multimodalitas, atau jumlah parameter untuk Flash Cyber secara spesifik.

Apakah ini berbahaya / penggunaan ganda?

Google mengakui risiko penggunaan ganda — model yang baik dalam menemukan bug yang dapat dieksploitasi dapat disalahgunakan secara ofensif — dan menyebutkan pembatasan akses sebagai mitigasi utamanya, di samping persetujuan manusia atas patch dan validasi temuan dalam lingkungan terisolasi.

Apakah skor CyberGym diverifikasi secara independen?

CyberGym itu sendiri adalah tolok ukur akademis pihak ketiga yang asli. Namun angka spesifik 83,2% yang diatribusikan kepada Flash Cyber berasal dari pemberitaan pers tentang pengumuman Google, bukan dari teks verbatim Google sendiri atau entri papan peringkat publik langsung, dan karena model tersebut digated, tidak ada pihak luar yang saat ini dapat menjalankannya kembali. Anggap angka tersebut sebagai yang dilaporkan, bukan sebagai yang dikonfirmasi secara independen.

Kapan Flash Cyber akan tersedia secara umum?

Google belum mengatakannya. Mereka telah menyatakan bahwa akses akan diperluas seiring waktu di luar uji coba saat ini yang melibatkan pemerintah dan mitra tepercaya, tetapi belum ada tanggal GA atau jadwal yang dipublikasikan, jadi belum ada yang konkret untuk direncanakan.

Intinya

Gemini 3.5 Flash Cyber adalah alat yang sempit dan serius: model keamanan kode yang berburu dan menambal celah di dalam CodeMender, dibatasi untuk pemerintah dan mitra tepercaya. Model ini benar-benar mumpuni dalam satu tolok ukur independen yang tersedia, tetapi berada dalam kelompok yang ketat dengan model siber OpenAI dan Anthropic, bukannya unggul jauh, dan hampir semua angka menonjolnya adalah evaluasi internal Google sendiri. Jika Anda bukan mitra yang telah terverifikasi, Anda tidak dapat menggunakannya — dan untuk pekerjaan yang terkait dengan keamanan umum pada kode Anda sendiri, model frontier yang dapat diakses tetap menjadi jalur yang praktis. Perbandingan di bawah ini menyandingkannya dengan dua pesaing sebenarnya.