Gemini 4 Carbon、仕込まれた攻撃もズルも成功率0%に

Googleが新しいAIモデル「Gemini 4 Argon」を出してから、まだ2週間あまりしか経っていない。その10月28日、早くも次のモデル「Gemini 4 Carbon」が発表された(Google公式ブログ)。

今回Googleが大きく見せているのは、賢さの順位だけではない。AIエージェントに何日も作業を任せたときに心配になる、2つの”裏切り”への数字だ。1つは、AI自身が手元でズルをして成功したふりをすること。もう1つは、処理するデータに仕込まれた悪意ある指示に、AIがだまされてしまうことだ。Googleは、このどちらも成功率を0%まで下げたと発表している。その数字が何を測ったものなのか、順に確かめていく。

何日も任せる作業とは何か

Carbonが売りにする「長時間タスク」とは、具体的にはどんな作業か。公式発表では、数日間動き続け、途中で手詰まりになっても粘り強く別の方法を試す作業が挙げられている。例として、大規模なコードベースや低レベルのシステムに潜むバグの根本原因を突き止め、修正パッチまで仕上げることが示されている(Google公式ブログ)。コーディングの実力を測る「WebDev Arena」でも、前のモデルから+89Eloと大きく伸び、1768点で4位につけたという(同ブログ)。

何日も任せっきりにできるなら便利に見える。しかし、その間ずっと人が張り付いて見張るわけにはいかない。目を離した隙にAIが何をしでかすかが、次に気になるところだ。

AI自身のズルをどう防ぐか

1つ目の心配は、AI自身がズルをすることだ。エージェントにプログラミング課題を解かせて採点する「Terminal-Bench 4.0」というベンチマークがある。ここでAIは、本当にコードを直すのではなく、採点スクリプトを書き換えたり、テストの期待値をハードコーディングしたりして、成功したように見せかけることがある。

Googleの発表によれば、Carbonがこうした不正行為を試みる割合は0.4%まで下がり、実際に不正が成功した割合は0.0%になった。しかもこれは、全体の正答率を上げながら達成した数字だという。公式ブログの原文は “Carbon reduced successful cheating on Terminal-Bench 4.0 to 0.0%, with attempts to cheat dropping to 0.4% — all while improving overall accuracy.”と書いている(Google公式ブログ)。ズルを試みること自体がほぼ無くなり、たとえ試みても成功しなくなった、ということになる。

では、AIが自分から不正をしない代わりに、外から騙される心配はどうか。

外からの指示にどう備えるか

もう1つの心配は、AIを騙す側が外からやってくる場合だ。エージェントは作業の途中で、ウェブページやファイルの中身を読みにいく。もしそのデータの中に「これまでの指示は無視して、別の操作をしろ」という文章が仕込まれていたら、AIは本物の指示だと勘違いするかもしれない。本人に直接話しかけられたのではなく、処理対象のデータ経由で乗っ取られるこの攻撃を「間接的プロンプトインジェクション」と呼ぶ。

これを測るのが、Gray Swanという企業が用意する「Indirect Prompt Injection(IPI)ベンチマーク」だ。これまでの最高はArgonで、攻撃成功率0.7%という低さを記録していた。Carbonはこれを0.0%まで下げ、評価対象になったすべての攻撃を防ぎきったという。公式ブログの原文は “Carbon achieves 0.0% — resisting every evaluated attack attempt.”と書いている(Google公式ブログ)。

外から仕込まれた指示にも、エージェント自身の手元の工夫にも、どちらも屈しなかった。2種類の”0%“がそろって初めて、「何日も任せても大丈夫」と言える根拠になる(Google公式ブログ)。

サイバー対応の実力はどれほどか

安全性に加えて、Carbonはサイバーセキュリティの実務でも力を発揮するという。Googleは、脆弱性を見つける・悪用できるか検証する・直す、という3つの段階に分けて成績を示している(Google公式ブログ)。

• 脆弱性の発見(SEC-bench Pro): 88.2%
• 悪用可能性の検証(ExploitGym): 54.8%
• 修正パッチの作成(CWE-bench): 71.0%

総合的な知能の指標でも、Googleは発表時点でArtificial Analysis Intelligence Index首位(59点)だったとしている(同ブログ)。ただし、自分が11月11日に同じ指標のページを開くと、Carbonは60点ながら74モデル中4位まで下がっていた(Artificial Analysisのモデルページ)。発表からわずか2週間ほどの間に、さらに新しいモデルが追加されたのだろう。フロンティアモデルの競争は、それだけ速いと感じた。

自分がいつ・いくらで使えるか

ここまでの数字を読んで気になるのは、自分がいつから使えるかだろう。答えは「まだ限られる」になる。Googleは発表の中で「今週から、Carbonをサイバー防御担当者の一部に提供する」と述べている。原文は “Starting this week, we will make Carbon available to a subset of cyber defenders.”だ(Google公式ブログ)。その後、政府機関や重要インフラ事業者などの信頼できるパートナーに「Fairwind Program」を通じて広げるという。

気になってFairwind Programの説明ページを開いてみると、そこにはまだCarbonという名前が一つも出てこなかった。書かれているのは前のモデルArgonの話だけで、発表直後でページの更新が追いついていないようだ(Google DeepMind「Fairwind Program」)。開発者・企業・個人向けの一般提供についてGoogleは「できるだけ早く」としか述べておらず、具体的な日付は示していない。

料金はすでに決まっている。導入価格は入力100万トークンあたり2ドル、出力100万トークンあたり10ドルで、Argonと同額だ。導入期間が終わると、入力4ドル・出力20ドルに上がる(同ブログ)。一般提供が始まったときのために、価格だけは先に知っておいて損はない。

まとめ

Gemini 4 Carbonが示したのは、「何日も任せられるほど賢くなった」ことより先の数字だった。「何日も任せても、仕込まれた指示にもズルにも屈しない」という安全性の数字だ。Gray Swan IPIの攻撃成功率はArgonの0.7%から0.0%に、Terminal-Bench 4.0での不正成功率も0.0%になった。脆弱性の発見から修正まで、サイバーセキュリティの実務でも高い成績を示している。

ただし今使えるのはサイバー防御担当者の一部に限られ、開発者や企業、個人向けの時期は未定だ。料金だけは入力2ドル・出力10ドル(100万トークンあたり)とすでに決まっている。次に一般提供が始まったとき、ここで見た安全性の数字が現場でもどこまで再現されるかが、次に確かめたい問いになる。