Google 发了 Gemini 4 Carbon，主打网络安全。三个分数里最该看的是中间那个：找洞 88.2%，验证能否利用只有 54.8%。 事实部分（… · @0xwolverines · TwKit

@0xwolverines

Google 发了 Gemini 4 Carbon，主打网络安全。三个分数里最该看的是中间那个：找洞 88.2%，验证能否利用只有 54.8%。 事实部分（来源：Google 官方博客《Introducing Gemini 4 Carbon》、DeepMind Fairwind Program 页面，本周发布）： 1. SEC-bench Pro（自主找真实软件漏洞）88.2%，ExploitGym（验证漏洞能否被利用）54.8%，CWE-bench（按根因写补丁）71.0%。官方注明这些外部基准是在不开护栏的情况下测的。 2. Artificial Analysis 智能指数 v5.0 得分 59，排第一。 3. 内部数据：生成安全代码的成功率比 Argon 高 2 倍以上；Chrome 团队称它写高质量补丁比"另一家实验室的大模型"好 10 倍以上。这些是 Google 自己的数字，没有公开测试条件。 4. 发布方式：本周先给一部分网络防御方，再通过 Fairwind 计划逐步开放给审核过的合作方；开发者和普通用户要等护栏迭代后。Fairwind 要求只做防御和研究用途、用户级认证、防钓鱼 MFA、只给内部安全/应急/渗透团队用，并记录员工使用。 我的判断：找洞已经快不是瓶颈了，瓶颈在后面两步。三个是不同的基准，分数不能直接相减，但方向一致：验证能否利用只有五成多，补丁约七成，剩下的要靠人。这是我按基准分数的推测，不代表真实项目里的比例。前两天 Anthropic 那 62 个 Chrome CVE 也是同一个问题：修好了，用户不重启照样没用。 我自己的做法： 1. 用 AI 扫出来的漏洞，先按能不能复现排序，能复现的进修复队列，不能复现的标记待验证，别一次性全丢给开发。 2. AI 写的补丁必须附一个能复现原漏洞的测试，补丁合进去后这个测试要从失败变通过，否则不算修好。 3. 拿不到 Fairwind 的团队，先把补丁上线和重启的流程理顺。找洞的速度会被别人的模型抬上去，上线速度只能靠自己。 你们团队现在修一个高危漏洞，从报告到上线大概要几天？ #AI安全 #漏洞 #Gemini

曝光 14 · 评论 1 · 点赞 0 · 书签 0