Le regole del digitale stanno cambiando.
O sei visibile o sei fuori. Noi ti aiutiamo a raggiungere i clienti giusti — quando ti stanno cercando.
Contattaci ora
Il modello individua le vulnerabilità e scrive le correzioni, ma su un test di sfruttamento arriva al 54,8 per cento
Google ha presentato Gemini 4 Carbon, modello che individua l'88,2 per cento delle falle complesse su SEC-bench Pro e ne sfrutta il 54,8 per cento su ExploitGym, con il 71,0 per cento di correzioni funzionanti. La doppia capacità è il punto: chi decide chi accede prima a uno strumento che attacca oltre metà delle vulnerabilità trovate? La finestra di adattamento annunciata da Google resta un argomento commerciale dell'azienda che vende il modello.
L’88,2 per cento. È la quota di falle complesse, nascoste in software reale, che il nuovo modello di Google riesce a scovare in autonomia su SEC-bench Pro, un banco di prova pensato per misurare quanto bene un’intelligenza artificiale trovi vulnerabilità nel codice. Il modello si chiama Gemini 4 Carbon ed è stato presentato ieri, 28 ottobre, con l’annuncio ufficiale sul blog di Google. C’è poi un secondo numero, meno rassicurante: su ExploitGym, un test che non chiede di trovare le falle ma di sfruttarle, Carbon arriva al 54,8 per cento. Lo stesso strumento che aiuta a riparare un sito, insomma, in più di metà dei casi sa anche come attaccarlo.
Il modello che trova la falla e scrive la patch
Vale la pena mettere in fila i numeri, ricordando che sono quelli scelti da Google per presentare il proprio prodotto: misurazioni su benchmark, cioè test standardizzati, non risultati osservati sul campo in mesi di utilizzo. Su SEC-bench Pro e su ExploitGym l’azienda dichiara per Carbon il miglior risultato mai registrato. A questi si aggiunge un terzo dato, che riguarda la parte più utile per chi gestisce un sistema: sul CWE-bench di Collinear, secondo la classifica pubblicata dalla società, il modello raggiunge il 71,0 per cento, trasformando le vulnerabilità individuate e verificate direttamente in correzioni del codice funzionanti. In gergo si chiamano patch: le toppe che chiudono un buco di sicurezza.
Carbon non è solo uno specialista. Secondo Artificial Analysis, che stila uno degli indici più seguiti per confrontare i modelli linguistici, Gemini 4 Carbon è al primo posto dell’Artificial Analysis Intelligence Index nella versione 5.0, aggiornata da poco, con 59 punti. Il quadro che ne esce è quello di un sistema con un doppio profilo: individua il problema, scrive la soluzione e, se serve, sa anche dimostrare come il problema potrebbe essere usato contro chi non l’ha ancora corretto. Ed è qui che nasce la domanda più interessante: se un modello sa sfruttare oltre la metà delle vulnerabilità che trova, chi decide a chi darlo per primo?
Difensori fidati, ma fidati da chi?
Google una risposta ce l’ha, e la mette per iscritto nella pagina dedicata al Fairwind Program, il programma di accesso anticipato. La logica è questa: dare in anticipo queste capacità informatiche avanzate ai «difensori fidati» concede loro una finestra di adattamento per rafforzare i propri sistemi prima che gli attori malintenzionati abbiano la possibilità di sfruttare le nuove capacità. Detto in altre parole: se uno strumento del genere esiste, meglio che lo abbiano prima quelli che devono proteggere i sistemi, così da chiudere le falle prima che qualcun altro le trovi.
L’argomento ha una sua coerenza, ma lascia aperte alcune questioni. Chi stabilisce chi è un difensore fidato? Per quanto dura la finestra di vantaggio? E soprattutto: chi resta fuori dalla lista, cioè la grande maggioranza delle piccole aziende, dei negozi online e delle redazioni, quando potrà usare lo stesso strumento? Va anche ricordato che a parlare di finestra di adattamento è la stessa azienda che vende il modello: la cautela è sincera, ma è anche un buon argomento commerciale.
Google, del resto, non è sola. Anthropic, uno dei principali concorrenti, ha lanciato Project Glasswing, un’iniziativa che mostra come i laboratori rivali stiano facendo a gara per mettere in campo modelli di frontiera costruiti apposta per scoprire vulnerabilità. Il modello di Anthropic al centro del progetto, Mythos Preview, avrebbe già individuato migliaia di vulnerabilità di alta gravità, comprese alcune in ogni principale sistema operativo e in ogni principale browser web. Anche qui si tratta di una dichiarazione dell’azienda, ma il segnale è chiaro: il mercato sta producendo strumenti progettati specificamente per guardare dentro il software e trovarne i punti deboli. Sullo sfondo, Google mantiene anche un modello generalista, Gemini 4 Argon, presentato come adatto a compiti complessi in campi che vanno dalla programmazione alla finanza, dal diritto alla cybersicurezza fino alla scienza. Carbon, invece, è il modello pensato per questo mestiere preciso.
Se le falle si trovano a migliaia, e in ogni browser, il vantaggio si sposta su chi arriva prima alla correzione. E arrivare prima ha un prezzo.
Due dollari per guardarsi dentro
Il prezzo, in questo caso, è basso. Gemini 4 Carbon sarà lanciato a un prezzo introduttivo di 2 dollari per milione di token in ingresso e 10 dollari per milione di token in uscita. Un token è, semplificando, un frammento di testo o di codice: un milione di token corrisponde a una quantità di codice considerevole. Significa che far analizzare il software del proprio sito o del proprio e-commerce da un modello di questo tipo non richiede più necessariamente un team di sicurezza interno o una consulenza costosa. È una buona notizia per chi non ha mai potuto permettersi un controllo serio del proprio codice. Ha però un effetto collaterale: l’inerzia diventa un rischio misurabile. Quel listino, infatti, vale per tutti, che si tratti di difensori o no.
Per chi pubblica e vende online, il punto pratico è questo: il software su cui girano siti, gestionali e negozi digitali sta per essere scandagliato da modelli che trovano e sfruttano falle a costi molto bassi. Conviene essere tra i primi a farlo sul proprio codice. Per molto tempo una parte della sicurezza di un sito è dipesa, più o meno consapevolmente, dal fatto che nessuno avesse ancora guardato con abbastanza attenzione. Quella finestra si sta chiudendo.
