Google lancia Gemini 4 Carbon, l'AI che trova e ripara le falle

Ogni programma informatico può contenere errori di progettazione, e alcuni di questi errori sono vulnerabilità, cioè falle che un attaccante può sfruttare per entrare in un sistema. Il tempo che passa tra la scoperta di una falla e la sua correzione decide quanto margine resta ai criminali. Per accorciarlo Google ha annunciato oggi, 28 ottobre 2026, Gemini 4 Carbon, il suo nuovo modello di intelligenza artificiale, inizialmente riservato a difensori informatici selezionati.

L'azienda partecipa al processo volontario statunitense di valutazione dei modelli prima del rilascio e prevede un ampliamento graduale dell'accesso attraverso il programma Fairwind. Per la disponibilità pubblica non c'è ancora una data.

Carbon prosegue il lavoro di Gemini 4 Argon, il modello precedente, ed è pensato per attività di ingegneria del software di lunga durata: analizzare codice, ricostruire l'origine di un errore, proporre una modifica. La sicurezza informatica è un'applicazione centrale di queste capacità più generali. Google cita anche il primo posto nell'Intelligence Index di Artificial Analysis, un indice che misura le prestazioni complessive dei modelli e va tenuto distinto dall'efficacia nel proteggere un'infrastruttura reale.

Dalla scoperta alla riparazione

Il passaggio più interessante riguarda il collegamento tra tre fasi che di solito richiedono strumenti e persone diverse. Un sistema può segnalare un difetto, ma stabilire se quel difetto consenta davvero un'intrusione aiuta a decidere quanto sia urgente intervenire. Serve poi una patch, cioè una modifica del software che elimini la causa del problema preservando le funzioni esistenti. I benchmark, ossia le batterie di test standardizzate citate da Google, misurano segmenti diversi di questo percorso. Leggerli come un unico voto sulla sicurezza significherebbe sovrapporre risultati distinti.

Numeri da leggere con prudenza

Su SEC-bench Pro Google dichiara un successo dell'88,2% nella ricerca di vulnerabilità. Il dato richiede cautela: la classifica pubblica consultata non contiene ancora la voce Carbon e il benchmark cambia attraverso versioni successive. Per confrontare due modelli servono lo stesso insieme di prove, tempi equivalenti e configurazioni documentate. Per ora si tratta di una prestazione annunciata dal produttore, in attesa degli elementi che ne permettano la riproduzione.

Un riscontro più facile da consultare arriva da CWE-bench, che si concentra sul lavoro di correzione. Nella sua classifica Carbon ottiene il 71% nella misura per singolo tentativo, contro il 68% di Argon e di GPT-6 Astra, il modello di OpenAI. Il sistema valuta agenti completi, compresi gli strumenti con cui lavorano, quindi il confronto riguarda l'intera configurazione e non il solo modello. Perché una modifica superi le verifiche deve bloccare lo sfruttamento della falla e lasciare funzionanti i test previsti. Una patch approvata dal benchmark resta comunque diversa da una correzione accettata dai manutentori del software e installata dagli utenti.

Trovare una falla serve a poco senza una correzione installata dagli utenti

Esiste poi una distanza tra capacità sperimentale e prodotto utilizzabile. Google precisa che i test di cybersicurezza di Carbon sono stati eseguiti senza guardrail, i controlli che limitano le operazioni potenzialmente pericolose. I risultati descrivono dunque ciò che il modello riesce a fare nelle condizioni della prova. Per misurarne l'utilità effettiva occorreranno valutazioni con le protezioni attive, sugli stessi compiti autorizzati.

Perché l'accesso è selettivo

La scelta di limitare l'accesso dipende dalla natura delle competenze coinvolte. Dimostrare che una falla è sfruttabile aiuta chi deve correggerla, ma può agevolare anche un attacco. Fairwind privilegia governi, infrastrutture critiche e piattaforme tecnologiche fondamentali e verifica la storia operativa ed etica dei candidati. Questa priorità potrebbe proteggere i componenti da cui dipendono molti altri servizi. Resta aperta una questione di distribuzione: quanto rapidamente potranno beneficiarne i piccoli manutentori e le organizzazioni fuori dal gruppo iniziale?

L'accesso selettivo cerca di proteggere prima i servizi da cui dipendono molti altri

OpenAI ha scelto una strada diversa per GPT-6 Astra: una disponibilità ampia con attività cyber differenziate. Revisione del codice e creazione di patch sono consentite, mentre la produzione di dimostrazioni di sfruttamento è soggetta a restrizioni più forti. Il programma Daybreak punta ad ampliare i flussi difensivi autorizzati. È un compromesso diverso tra diffusione e controllo. OpenAI stessa riconosce che le verifiche aggiuntive possono interrompere anche lavoro legittimo, quindi un accesso più esteso può convivere con ostacoli operativi rilevanti.

Cosa insegnano i precedenti

Per valutare questi strumenti conviene osservare l'intero processo. Nel resoconto della finale dell'AI Cyber Challenge pubblicato l'8 agosto 2025, DARPA, l'agenzia statunitense per la ricerca avanzata della difesa, ha riportato un tempo medio di invio delle patch di 45 minuti. Era un risultato di gara, diverso dai tempi di distribuzione nei sistemi reali. Andrew Carney, responsabile del programma, ha sottolineato il valore della combinazione tra intelligenza artificiale e altre tecniche difensive: il progresso nasceva dall'integrazione degli strumenti.

Un precedente di Google mostra il valore della prevenzione. Nel resoconto pubblicato il 1° novembre 2024, il gruppo Big Sleep ha documentato una vulnerabilità di SQLite, un diffuso software per la gestione di database, individuata prima che raggiungesse una versione ufficiale e corretta dagli sviluppatori il giorno stesso della segnalazione. Gli autori hanno definito sperimentale il risultato e hanno riconosciuto l'efficacia potenziale degli strumenti specializzati di fuzzing, che cercano errori sottoponendo il software a un gran numero di input. Il beneficio concreto è stato evitare che quel difetto arrivasse agli utenti.

Costi, regole e dati

Anche l'economia dell'adozione va letta oltre il listino. Google annuncia una tariffa introduttiva di 2 dollari per milione di token in ingresso e 10 dollari per quelli generati; i token sono le unità in cui il modello suddivide i contenuti che legge e produce. Il costo reale includerà però tentativi falliti, strumenti e revisione umana, e la metrica più utile sarà il costo per ogni correzione accettata e distribuita. Per l'Italia, inoltre, l'annuncio resta distinto da un'offerta commerciale locale accessibile al pubblico.

La questione ha già una dimensione italiana concreta. Nella comunicazione del 17 luglio 2026, Banca d'Italia ha avvertito che i modelli avanzati possono accorciare il tempo tra individuazione e sfruttamento delle falle e ha invitato gli intermediari vigilati a rafforzare la resilienza. In Europa l'AI Act, il regolamento sull'intelligenza artificiale, impone ulteriori obblighi di valutazione e mitigazione ai fornitori di modelli generalisti con rischio sistemico. Il piano europeo su intelligenza artificiale e cybersecurity prevede inoltre condizioni strutturate di accesso e ambienti sicuri di sperimentazione.

Per chi valuterà Carbon, questi requisiti si tradurranno in decisioni quotidiane: quale codice condividere, chi potrà esaminarlo, quali dati verranno conservati e chi autorizzerà le modifiche. Fairwind documenta alcune garanzie specificamente per Argon, tra cui la conservazione nulla dei dati in una determinata modalità di accesso. Per Carbon serviranno condizioni altrettanto esplicite. Il primo esperimento utile in un'organizzazione potrebbe dipendere dal contratto di trattamento dei dati ancora prima che dalla qualità della patch.