## En bref

- Google a annoncé le 28 octobre 2026 Gemini 4 Carbon, son modèle frontier le plus avancé, spécialement conçu pour la cybersécurité et les tâches longue durée.

- Le modèle atteint 88,2 % sur SEC-bench Pro (détection de vulnérabilités), 54,8 % sur ExploitGym et 71 % sur CWE-bench pour la correction automatique de failles.

- L'accès est limité : seules des équipes de cyberdéfense sélectionnées bénéficient d'un accès anticipé via le programme Fairwind, sans calendrier public pour une disponibilité générale.

## Un modèle frontier conçu pour la détection et la correction de failles

Le 28 octobre 2026, Google DeepMind a dévoilé Gemini 4 Carbon, présenté comme son système d'[intelligence artificielle](/glossaire/intelligence-artificielle) le plus puissant à ce jour. Contrairement à ses prédécesseurs, Carbon ne se contente pas de performances générales : il est explicitement positionné comme un outil de cyberdéfense, capable de détecter des vulnérabilités complexes dans du code réel, de produire des exploits fonctionnels pour tester ces failles, et de générer automatiquement des correctifs opérationnels. Cette orientation marque une rupture avec la stratégie habituelle des grands laboratoires, qui publient des modèles généralistes et laissent ensuite les équipes de sécurité les adapter.

Sur SEC-bench Pro, le benchmark de référence pour la détection autonome de vulnérabilités logicielles dans des projets réels, Gemini 4 Carbon atteint un score de 88,2 %. Ce chiffre représente une amélioration substantielle par rapport aux résultats publiés par les modèles concurrents les plus récents. Le benchmark évalue la capacité du modèle à identifier des failles dissimulées dans des bases de code complexes, sans indications préalables sur la nature ou la localisation des vulnérabilités. Google précise que Carbon obtient ces résultats sur des évaluations renforcées, conçues pour être plus difficiles que les versions précédentes de SEC-bench.

Sur ExploitGym, qui mesure la capacité à produire des exploits fonctionnels à partir d'une vulnérabilité identifiée, le modèle atteint 54,8 %. Ce score positionne Carbon en tête du classement pour cette catégorie. Il est important de souligner que ce benchmark est utilisé dans un contexte défensif : la capacité à construire un exploit permet de valider qu'une faille est bien exploitable et donc de prioriser les corrections. Enfin, sur CWE-bench, qui évalue la génération de patches pour des catégories de faiblesses logicielles standardisées, Carbon obtient 71 %, démontrant une capacité à transformer directement une analyse de vulnérabilité en code correctif déployable.

Google met également en avant un gain de plus de deux fois en taux de succès pour la génération de code sécurisé, comparé à Gemini Argon, son modèle précédent. Cette amélioration est mesurée sur des benchmarks internes, et Google précise qu'elle concerne notamment les cas où du code nouvellement généré introduit des patterns vulnérables connus comme les injections SQL, les débordements de tampon ou les mauvaises gestions de session.

Au-delà de la cybersécurité, Gemini 4 Carbon est présenté comme un modèle conçu pour les tâches de longue durée, capables de maintenir un contexte cohérent sur des sessions étendues. Google parle de "sustained engineering work", soit des flux de travail qui s'étalent sur plusieurs heures, voire plusieurs jours, sans interruption du contexte. Ce positionnement vise directement les cas d'usage d'audit de sécurité approfondi ou de revue de code sur des projets de grande taille, où les modèles actuels tendent à perdre en cohérence au fil des échanges.

Le déploiement initial de Carbon est délibérément restreint. Google a mis en place le programme Fairwind, un accès sélectif réservé à des équipes de cyberdéfense triées sur le volet. La société n'a pas communiqué sur le nombre d'organisations retenues, ni sur les critères de sélection, mais précise que l'élargissement progressif vers d'autres partenaires de confiance se fera dans les semaines à venir. Les développeurs grand public, les entreprises sans contexte de sécurité accrédité et les utilisateurs individuels n'ont pas encore accès au modèle, et aucune date n'a été annoncée pour une disponibilité générale via Google AI Studio ou l'API Gemini.

Cette stratégie de déploiement contrôlé s'explique en partie par les risques liés à la double nature de Carbon : un modèle capable d'identifier et d'exploiter des vulnérabilités est un outil à double tranchant. Google adopte donc une posture similaire à celle d'Anthropic avec ses capacités offensives dans Claude, en limitant l'accès aux acteurs dont l'usage défensif peut être vérifié. La question de la prolifération de tels modèles reste ouverte dans la communauté de la sécurité, notamment face à d'éventuelles tentatives d'extraction de poids ou de [fine-tuning](/glossaire/fine-tuning-ia) non autorisé.

Parallèlement, Google DeepMind a annoncé Genie 4, un modèle de génération d'environnements interactifs réalistes, capable de simuler des interactions entre objets et de générer des sons et dialogues en temps réel à partir d'instructions en langage naturel. Bien que moins directement lié à la cybersécurité, ce modèle illustre la capacité croissante de DeepMind à produire des systèmes capables de simuler des environnements complexes — compétence potentiellement utile pour la génération de scénarios d'entraînement en cybersécurité offensive et défensive.

## Pourquoi Carbon redéfinit les attentes autour de l'IA en cybersécurité

L'annonce de Gemini 4 Carbon s'inscrit dans un mouvement de fond observable depuis 2025 : les grands laboratoires d'IA — Anthropic, OpenAI, Google — investissent massivement dans la dimension sécurité de leurs modèles, non plus comme une contrainte (le problème des jailbreaks et des refus) mais comme un vecteur de valeur commerciale. Les RSSI et les équipes de sécurité offensive représentent un marché à forte valeur unitaire, et un modèle capable d'automatiser partiellement un [pentest](/glossaire/pentest-test-intrusion) ou un audit de code représente un avantage concurrentiel significatif.

Les scores de Carbon sur SEC-bench Pro méritent d'être mis en perspective. Le précédent record était détenu par un modèle concurrent avec un score autour de 79 %. Atteindre 88,2 % représente un saut qualitatif qui commence à approcher les capacités d'un analyste humain expert sur des tâches standardisées. Toutefois, les benchmarks de cybersécurité souffrent du même biais que les autres : ils mesurent des tâches bien définies, alors que les failles réellement critiques sont souvent celles qui émergent d'interactions complexes entre composants, de logique métier spécifique ou de configurations atypiques non représentées dans les jeux d'évaluation.

Le programme Fairwind pose également une question stratégique pour les équipes de sécurité européennes. Si l'accès initial est concentré sur des partenaires américains sélectionnés par Google, les organisations françaises et européennes — qu'il s'agisse d'opérateurs d'importance vitale (OIV), d'administrations ou d'ESN spécialisées — risquent d'accuser un retard dans l'adoption de ces capacités. L'ANSSI n'a pas encore commenté l'annonce, mais la question de la souveraineté numérique autour des modèles d'IA offensifs et défensifs devrait rapidement s'imposer dans les discussions réglementaires, notamment dans le cadre du Cyber Resilience Act et du futur cadre européen sur l'IA Act appliqué aux outils de sécurité.

Enfin, la publication de scores détaillés sur ExploitGym — un benchmark qui évalue la capacité à produire des exploits fonctionnels — ouvre un débat éthique sur la transparence des benchmarks en IA offensive. Communiquer publiquement sur la capacité d'un modèle à générer des exploits, même dans un cadre défensif, contribue à normaliser ces usages et pourrait inciter des acteurs malveillants à tenter de répliquer ou de contourner les garde-fous du modèle. La communauté de la recherche en IA et en sécurité devra trancher sur le niveau de détail acceptable dans la divulgation de telles performances.

## Ce qu'il faut retenir

- Gemini 4 Carbon établit de nouveaux records sur les benchmarks de détection de vulnérabilités (88,2 % sur SEC-bench Pro) et de correction automatique (71 % sur CWE-bench), se positionnant comme l'IA la plus avancée en cyberdéfense active.

- Le déploiement est volontairement restreint via le programme Fairwind, sans date de disponibilité générale — les entreprises souhaitant accéder au modèle doivent soumettre une candidature auprès de Google.

- La double capacité offensive/défensive du modèle (détection + exploitation + patch) pose des questions réglementaires sur la diffusion de ces outils, particulièrement en Europe dans le cadre de l'AI Act et du Cyber Resilience Act.

### Gemini 4 Carbon peut-il remplacer un analyste en sécurité offensive ?

Pas encore. Avec 88,2 % sur SEC-bench Pro, Carbon surpasse la plupart des outils automatisés, mais les failles critiques émergent souvent de logique métier complexe ou d'interactions atypiques entre composants — domaines où le jugement humain expert reste indispensable. Carbon est un amplificateur de productivité, pas un substitut à un pentest qualifié.

### Besoin d'un accompagnement expert ?

Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.
[Prendre contact](#)