Gemini 3.8 Flash Cyber : Google lance une IA dédiée à la cybersécurité

1. Troisième sortie Flash en six semaines

Gemini 3.8 arrive trois semaines après Gemini 3.7 Flash, elle-même publiée quelques semaines avant. Google justifie ce rythme par des boucles d'entraînement agentiques longues, qui permettent d'évaluer et d'affiner le modèle en continu plutôt que d'attendre une refonte complète. Les deux variantes de 3.8, Flash et Flash Cyber, partagent le même socle d'intelligence, renforcé notamment par un entraînement poussé sur des tâches de cybersécurité.

Gemini 3.8 Flash conserve le prix et la vitesse de la version précédente : 0,75 dollar par million de tokens en entrée, 3,75 dollars en sortie, un tarif promotionnel maintenu jusqu'au 31 décembre 2026 avant de passer à 1,50 et 7,50 dollars. Le modèle est disponible dans Google Antigravity, Google AI Studio, Android Studio, Gemini Enterprise, ainsi que dans l'application Gemini pour les abonnés AI Pro et Ultra.

2. Gemini 3.8 Flash : les chiffres face à la version précédente

Sur DeepSWE v1.1, le benchmark d'ingénierie logicielle longue durée de Google, Gemini 3.8 Flash atteint 73,7 %, contre 65,3 % pour Gemini 3.7 Flash. Sur HLE-Verified, qui mesure le raisonnement multi-étapes sur des sujets scientifiques, professionnels et juridiques, le modèle obtient 54,9 %. Google met aussi en avant de bons résultats sur des benchmarks métier comme Vals Finance Agent V2 et le Legal Agent Benchmark de Harvey, deux domaines où la fiabilité du raisonnement compte plus que la vitesse brute.

Google explique ce gain par un choix de conception simple : le modèle "travaille plus dur". Sur les tâches complexes, il exécute davantage d'étapes de raisonnement et appelle les outils de façon plus itérative, quitte à consommer plus de tokens. Pour les usages où le coût prime sur la précision, Google recommande de rester sur des niveaux d'effort plus bas, ou de continuer à utiliser Gemini 3.7 Flash, toujours disponible.

Une partie de ces gains passe par Google Antigravity, la plateforme de développement agentique de Google lancée cette année. Contrairement à un simple assistant de code qui suggère des lignes dans l'éditeur, Antigravity donne à l'IA un accès direct à l'éditeur, au terminal et au navigateur : on lui confie une tâche de haut niveau, elle planifie, écrit le code, lance un serveur local, teste le résultat dans un navigateur et rapporte ce qu'elle a fait. Pour démontrer la capacité de Gemini 3.8 Flash, Google a fait construire au modèle un jeu 3D complet à partir d'un seul prompt, ainsi qu'un clone fonctionnel de Google Maps façon DOS, avec itinéraires et Street View. Ce ne sont pas des cas d'usage professionnels, mais ça illustre la profondeur d'exécution du modèle sur des tâches longues et autonomes. Antigravity fonctionne aussi avec d'autres modèles, dont Claude Sonnet 4.5, ce qui en fait un terrain neutre pour comparer plusieurs IA sur un même flux de travail.

3. Gemini 3.8 Flash Cyber : le vrai sujet de cette annonce

Gemini 3.8 Flash Cyber n'est pas un modèle généraliste avec un vernis sécurité. Google l'a entraîné spécifiquement pour deux tâches : trouver des vulnérabilités dans du code, et générer des correctifs fonctionnels. Sur CyberGym, le benchmark de référence pour la découverte de failles, le modèle obtient 86,2 %, devant GPT-5.5-Cyber (85,6 %), Mythos 5 d'Anthropic (83,8 %) et GPT-5.6 Sol (83,6 %). Sur un benchmark interne couvrant vingt langages de programmation, plus représentatif d'un usage réel que les seuls C et C++ testés par CyberGym, le modèle dépasse 70 % de réussite, contre 58,9 % pour Gemini 3.7 Flash et 46,6 % pour Gemini 3.5 Flash Cyber.

Sur la partie correction, le benchmark externe CWE-Bench place Gemini 3.8 Flash Cyber à 47,2 % de réussite, quasiment au niveau de Fable 5 d'Anthropic (47,8 %), mais à un coût par exécution nettement plus faible. Google insiste sur un choix délibéré : le modèle a été entraîné en priorité pour corriger des failles, pas pour générer des exploits. C'est une distinction importante par rapport à d'autres modèles où les capacités offensives et défensives progressent ensemble.

Trois résultats concrets, cités par Google, donnent une idée de l'usage réel. L'équipe sécurité de Chrome a mesuré 2,6 fois plus de correctifs corrects sur des vulnérabilités du navigateur que les meilleurs modèles commerciaux, pourtant plus gros. Wiz rapporte un taux de détection supérieur de 7,5 à 9,7 points sur son benchmark interne de tests d'intrusion, pour un coût 2,3 à 5,2 fois inférieur. L'équipe de recherche sur les vulnérabilités cloud de Google a identifié une faille critique en moins de deux heures, un travail qui prend habituellement plusieurs mois.

4. Le programme Fairwind : un accès volontairement restreint

Gemini 3.8 Flash Cyber n'est pas disponible sur l'API publique. Google le réserve à des "défenseurs de confiance" via un nouveau programme baptisé Fairwind : autorités gouvernementales, opérateurs d'infrastructures critiques, éditeurs de logiciels. La candidature se fait directement auprès de Google DeepMind. Parmi les partenaires cités par Google figurent Palo Alto Networks, Snowflake et Wiz.

Cette restriction n'est pas anodine. Le modèle embarque des garde-fous cybersécurité plus permissifs que la version grand public de 3.8 Flash, justement pour lui permettre d'être efficace en défense. Google précise que les deux versions intègrent des protections contre les usages détournés en cyberoffensive et dans le domaine CBRN (chimique, biologique, radiologique, nucléaire), et que les modèles 3.8 ont fait un bond significatif en robustesse face aux injections de prompt, mesuré par le benchmark Gray Swan.

5. Ce que ça change pour une PME

La grande majorité des PME françaises n'auront pas accès à Gemini 3.8 Flash Cyber : le programme Fairwind cible des acteurs bien plus gros. Mais la tendance de fond est claire, et elle va s'accélérer sur les mois à venir. Des outils de correction automatisée de failles, entraînés spécifiquement pour la défense, vont progressivement irriguer les offres commerciales de sécurité applicative que les PME utilisent déjà, souvent sans le savoir précisément.

C'est exactement là que l'accompagnement humain reste indispensable. Un correctif généré automatiquement peut corriger une faille tout en en introduisant une autre, ou casser une fonctionnalité métier que le modèle ne connaissait pas. Nos auditeurs cybersécurité seniors, certifiés OSCP et OSEP, interviennent précisément à ce niveau : vérifier ce qu'un outil d'IA a réellement changé dans le code, avant que ce changement n'atteigne la production.

Le chiffre de Google sur Chrome mérite d'être relativisé pour une PME : une équipe de sécurité interne chez un géant du logiciel, avec des mois de préparation et des jeux de tests internes, n'a rien à voir avec un correctif généré à la volée sur un CRM interne codé par trois développeurs il y a cinq ans. Le gain de vitesse promis par ces modèles est réel, mais il suppose une base de code documentée, des tests automatisés, et quelqu'un capable de juger si le correctif proposé est pertinent. Sans ça, l'IA accélère la détection d'un problème sans garantir sa résolution propre.

FAQ - Gemini 3.8 Flash et Flash Cyber