CrowdStrike SafeMind so với Gemini 3.5 Flash Cyber: Phòng thủ vòng lặp so với Thợ săn lỗ hổng của Google

CrowdStrike SafeMind và Gemini 3.5 Flash Cyber của Google ra mắt cách nhau hai tháng, và cùng nhau đánh dấu thời điểm các mô hình bảo mật không còn chỉ là những mô hình đa năng kèm cảnh báo an toàn. Gemini 3.5 Flash Cyber là mô hình bảo mật được tinh chỉnh của Google, được xây dựng trên nền tảng Gemini 3.5 Flash và giới hạn trong agent CodeMender trong một chương trình thử nghiệm truy cập hạn chế dành cho chính phủ và các đối tác tin cậy. SafeMind là hệ agentic của CrowdStrike, được xây dựng cùng NVIDIA trên nền tảng mở NVIDIA Nemotron và được tích hợp sẵn trong nền tảng Falcon. Cả hai đều ưu tiên phòng thủ, cả hai đều bị kiểm soát truy cập, và cả hai đều đặt cược rằng chuyên môn hóa sẽ thắng quy mô — nhưng họ đạt được điều đó bằng những con đường rất khác nhau.

Nền tảng của từng loại

Gemini 3.5 Flash Cyber lấy một mô hình đa năng đang được phát hành và đào tạo lại nó cho một nhiệm vụ duy nhất. Google cho biết mô hình này được xây dựng dựa trên Gemini 3.5 Flash — bản thân là mô hình ra mắt tháng 5/2026 với cửa sổ ngữ cảnh 1 triệu token và mức giá $1.50 / $9.00 mỗi triệu token ở phiên bản công khai — được tinh chỉnh để phát hiện, xác minh và vá các lỗ hổng phần mềm. Cấu hình chi phí của nó chính là điểm mấu chốt: đủ rẻ trên mỗi token để có thể gọi nhiều lần trên một mã nguồn lớn, và đó chính xác là cách tác tử CodeMender sử dụng — gọi mô hình song song rồi tổng hợp các phát hiện thành một báo cáo duy nhất.

SafeMind đi theo con đường ngược lại. CrowdStrike bắt đầu từ các mô hình Nemotron mã nguồn mở của NVIDIA — Nemotron 3 Ultra điều phối khung phòng thủ, Nemotron 3 Super đã tinh chỉnh hỗ trợ tác tử con tạo quy tắc — sau đó cộng thêm lợi thế riêng của mình: dữ liệu huấn luyện từ telemetry cảm biến Falcon, chú giải Falcon Complete MDR, và mười lăm năm kinh nghiệm thực địa ứng phó sự cố. Trong khi Gemini 3.5 Flash Cyber được tối ưu hóa để phân tích tĩnh mã nguồn thì SafeMind được tối ưu hóa cho vòng lặp trực tiếp phát hiện và phản hồi bên trong một nền tảng endpoint.

Hồ sơ phát hiện, như hiện tại

Gemini 3.5 Flash Cyber là một trong số ít các mô hình an ninh mạng bị giới hạn truy cập có hồ sơ công khai. Google báo cáo rằng nó đã tìm thấy 55 lỗ hổng riêng biệt đã được xác nhận trong công cụ JavaScript V8, so với 47 của Gemini 3.5 Flash và 36 của Claude Opus 4.6, bao gồm mười vấn đề mà không mô hình nào khác phát hiện ra. Trong đánh giá Big Sleep của Google trên các hệ thống mã nguồn phức tạp như Chrome và Safari, nó đã vượt trội đáng kể so với cả Gemini 3.5 Flash chính thống lẫn Gemini 3.6 Flash. Trong một trường hợp được ghi nhận, nó đã tạo ra một exploit thực thi mã từ xa với độ tin cậy 100%, vượt qua các biện pháp bảo vệ ASLR và W^X — loại kết quả giải thích chính xác lý do vì sao mô hình này không được công khai. Nhóm Nghiên cứu Lỗ hổng Đám mây của Google đã sử dụng nó để tìm ra một lỗ hổng thực thi mã từ xa trong một API công khai và một lỗi hỏng bộ nhớ trong một dịch vụ sản xuất chỉ trong khoảng hai giờ.

Cơ sở bằng chứng của SafeMind mỏng hơn và hoàn toàn đến từ chính nhà cung cấp. CrowdStrike báo cáo tỷ lệ phát hiện cao hơn 29%, thời gian khắc phục từ đầu đến cuối nhanh hơn 6 lần và tiết kiệm 99% chi phí phát hiện và khắc phục so với các mô hình tiên tiến hàng đầu và các chuẩn đối chiếu mã nguồn mở; NVIDIA cũng riêng rẽ báo cáo rằng mô hình Blue Solano đạt độ chính xác cao hơn các mô hình tiên tiến hàng đầu với chi phí thấp hơn 99% trong các đánh giá nội bộ. Không con số nào trong số đó được kiểm chứng độc lập, và không có phát hiện nào của SafeMind được công bố theo cách cụ thể, có thể kiểm tra như cách Google đã công bố danh sách V8. Sự khác biệt trong phong cách trình bày bằng chứng đáng được lưu ý: Google đưa ra nhật ký phát hiện của mô hình, còn CrowdStrike đưa ra các tuyên bố của mình.

Truy cập — những cánh cửa được khóa bằng các chìa khóa khác nhau

Cả hai mô hình đều không thể truy cập qua bất kỳ API công khai nào và cũng không bên thứ ba nào có thể định tuyến được. Gemini 3.5 Flash Cyber chỉ chạy bên trong CodeMender, trong một chương trình thí điểm truy cập hạn chế dành cho chính phủ và các đối tác đáng tin cậy, với các rào chắn bảo vệ cho phép kích hoạt chức năng phòng thủ và vô hiệu hóa các hoạt động mạng khác. Google cho biết sẽ mở rộng quyền truy cập theo thời gian và có kế hoạch bổ sung các tính năng kiểm thử đối kháng (red-teaming) cùng khả năng phòng thủ doanh nghiệp đầu cuối. SafeMind hoạt động dưới dạng tích hợp sẵn trong nền tảng Falcon dành cho khách hàng của CrowdStrike, với quyền truy cập độc lập phải thông qua cổng kiểm soát Project QuiltWorks. Khác biệt thực tế: một bên là chương trình thí điểm triển khai qua kênh chính phủ, bên còn lại là một sản phẩm nằm trong nền tảng bảo mật doanh nghiệp hiện có.

Người mà bạn thực sự có thể gọi ngay hôm nay

Đây là lúc cuộc so sánh không còn chỉ là lý thuyết nữa. Phiên bản tinh chỉnh Gemini 3.5 Flash Cyber bị giới hạn truy cập, nhưng mô hình gốc của nó là một sản phẩm thương mại đang được bán chính thức. Gemini 3.5 Flash hiện có sẵn trên OrcaRouter với giá niêm yết của Google — $1.50 mỗi triệu token đầu vào và $9.00 mỗi triệu token đầu ra, chuyển thẳng không cộng phí — cùng ngữ cảnh 1M token và đầu ra 64K. Nó không phải là chuyên gia an ninh mạng, và không có gì trong bài viết này nên được hiểu là đang khẳng định điều đó; thực chất, đây là mô hình đa dụng mạnh nhất hiện nay mà bạn có thể sử dụng cho khối lượng công việc phân loại lỗ hổng thông qua một API thông thường, với mức giá khiến việc quét đi quét lại một kho mã nguồn lớn trở nên phải chăng. Một bộ định tuyến chuyển thẳng mức giá của nhà cung cấp đồng nghĩa với việc các đợt giảm giá của Google sẽ xuất hiện trên hóa đơn của bạn ngay trong ngày, và tính năng chuyển đổi dự phòng tự động giữa các nhà cung cấp giúp quy trình phân loại tiếp tục chạy trong suốt thời gian một nhà cung cấp gặp sự cố.

Đối với nhóm bảo mật không thể tham gia vào cả hai chương trình truy cập có kiểm soát — tức là hầu hết các nhóm — các lựa chọn thực tế là các mô hình tiên phong tổng quát trên API tiêu chuẩn và bộ định tuyến cho phép bạn chuyển đổi giữa chúng mà không cần hợp đồng mới. SafeMind và Gemini 3.5 Flash Cyber sẽ định hình chương tiếp theo của phòng thủ chuyên biệt; cho đến khi các cánh cổng mở ra, các mô hình đảm nhiệm công việc là những mô hình bạn thực sự có thể gọi.