Gemini 4 Carbon发布：漏洞评测88.2%，为何暂不向所有人开放？

摘要 核实评测、开放安排、首发价格与Mac运行现状 黑粉科技 · 2026-10-29

一个模型刚宣布发布，最抓人的成绩是“漏洞发现评测88.2%”。你点进介绍，准备找入口，结果发现：先开放给部分网络安全防御团队，普通用户还得等。

这次谷歌把能力、价格都摆出来了，却没有把所有人的使用权限同时打开。Gemini 4 Carbon究竟强在哪里？88.2%意味着什么？手里的64GB Mac，又能不能用上？

我核对了10月28日的官方发布正文、藏在页尾的价格脚注，以及第三方评测页。这里依据公开资料分析，没有本机实测。先把最有用的结论放前面：Carbon值得关注的，是把“找问题、验证风险、修好代码”往同一条工作链推进；但发布消息、账户权限和本地权重，是三件分别要核实的事。

🎯 一、88.2%很亮眼，先看清这张成绩单考什么

按官方发布说明，Carbon在三项网络安全评测中的成绩如下。

这些是谷歌公布的结果，官方特别注明：评测时没有启用安全护栏。实际产品启用安全限制后，能接受的任务和表现可能不同。

“漏洞”可以先理解成门锁、窗户或者物业管理流程中的缺口。查出门框有裂缝，是发现问题；确认裂缝是否真能让人进屋，是验证风险；把门框修好、再检查门还能不能正常开关，才接近修复和验收。

放回软件里，这三步也不能混。模型指出某处可疑，需要具体证据；确认风险，需要在获准的测试环境里检查；提交了补丁，还得确认漏洞确实消失、原来的正常功能没有被改坏。本文只讨论合法授权的防御用途，不提供攻击操作。

88.2%的正确读法，是Carbon在SEC-bench Pro这套任务与评测条件下得到的成绩。

进一步查官方评测方法，这里用的是2026年5月的JavaScript引擎子集，共183项任务；使用Antigravity执行框架，报告单次尝试成功率，并对每题的3次独立尝试取平均。框架负责安排模型使用工具与执行测试，像考场里的设备和考试规则，同样会影响最后结果。

这比一句“漏洞发现率88.2%”具体得多：它有明确题库、执行环境和判定条件。它不能换算成“把任何软件交给它，就能找出88.2%的全部漏洞”。 真实项目的语言、依赖、代码规模、工具权限和任务时间，都可能与题库不同。

同样，三个百分比也不能相乘，算出所谓“从发现到修复的总成功率”。它们不是同一批问题依次过三关，试题和判分方法有差别。拿三套不同题库的考试分数连乘，就像把驾照理论、倒车入库和道路考试的成绩直接相乘，得不出真实道路上的安全驾驶概率。

这张表里更值得留意的是变化的位置：在谷歌公布的同代对照中，验证可利用性提升了12.8个百分点，比另外两项的百分点增幅更大。

这里的54.8%和42.0%，对应每题10小时的时间上限。 官方图中，Carbon在6小时上限时为53.5%；图里部分其他模型采用没有时间上限或未知时限的结果，因此跨厂商柱子的高低不能直接当成严格同条件横评。

官方方法说明写明，ExploitGym使用开源评测环境、每题一次尝试，执行过程不联网；CWE-bench则由Collinear AI评估并在公开榜单报告。三个数字的采集方式本身就不同，不能把它们都称作谷歌自测，或者都称作第三方独立复测。

对防御团队来说，问题列表越来越长时，先分清哪些问题真的需要优先处理，能减少无效排查。

不过，这仍然只能说明该项基准中的变化。它还不能证明你公司的代码审计工时一定下降多少，也不能证明人工复核可以取消。

🔍 二、把补丁写出来之后，它还愿不愿意继续干活？

模型替人写代码，最容易给人惊喜的是第一版。真正磨人的往往在后面：测试失败、修改引出另一个问题、跨了几个目录才找到根因，前面以为正确的判断还得推翻。

谷歌这次强调的是“长时程任务”——同一个工程问题，需要模型连续经历多轮操作和反馈。可以想成装修返工：师傅不能只把墙刷白，发现渗水以后，还得往上查水管、修好再观察。表面看着像交工，和问题真的解决，中间差着一串验证。

官方给出的真实内部案例范围，是团队观察到Carbon持续数天，跨大型代码库和底层系统追查、修复复杂问题。发布文没有给出完整逐步日志、人员介入次数和任务成本，因此这里不能写成“无人监督，稳定工作几天”。 我们能确认谷歌在强调什么，还不能替读者保证任何项目都能复现。

持续时间长也不天然等于好。一个任务如果沿着错误方向转三天，花掉的时间和费用照样是真的。判断长任务能力，至少要同时看三件事：是否保住原目标，是否根据工具回执修正判断，最后是否由独立检查确认交付。

这也解释了官方为什么花不少篇幅谈“少编造、少越权”。它称内部测试中，无根据主张约减半；在内部真实编码环境里，严重失配警报下降近80%。这些都是官方特定环境的观察，不是所有用户的通用失败率。

还有一个很有代表性的数字：Terminal-Bench 4.0中的成功作弊比例降到0.0%，尝试作弊为0.4%。这里关心的是模型会不会钻测试的空子，而不去解决任务。就像做作业时改答案纸和真正把题做对，是两种完全不同的“交卷”。0.0%只覆盖已测样本，不能当成模型永远不钻空子的保证。

对自己维护软件的人，这套检查方式比一句“它很会写代码”实用：先给明确的验收条件，保留失败回执，再看补丁和回归结果。模型负责提出方案和执行获准的动作，验收依据不能只剩它最后那句“已完成”。

⚡ 三、综合第一，为什么还有项目不是第一？

Carbon在Artificial Analysis智能指数第5版得到59分。

第三方模型评测页也列出了这一分数，支持官方公布的综合分。但“综合第一”很容易被读成“每项第一”，我们直接看原始对照。

在谷歌这张表里，Carbon的FrontierSWE 2是61.2%，低于表中GPT-6 Astra的65.5%和Claude Opus 5.5的62.3%；OSWorld-2.1离线子集是81.5%，低于Claude Opus 5.5的87.2%。这些对照来自厂商汇总表，不冒称本文对竞争模型重新实测。

这恰好提醒我们：综合分像体检总评，选工具更像看具体岗位。招一位负责复杂代码维护的同事，和招一位擅长操作桌面软件的同事，考察重点本来就不同。总分可以帮助缩小候选范围，不能代替你的任务验收。

另一个容易被宣传压扁的区别，是“吐字速度”和“等多久才开始回答”。第三方页面针对Carbon的High配置，记录的生成速度约为92.4词元每秒，同时列出的首词元延迟约100.31秒。它们来自该平台的评测设置，会随请求、配置和时段变化，不能当作所有推理配置的固定表现。

词元是模型处理文字的计量单位，不能固定按一个汉字换算。这里可以想成饭店出餐：菜端上来之后你吃得很快，不代表后厨做菜也只用了几秒。生成阶段的速度很快，前面的等待仍然会影响交互体验。

这个区别对长任务尤其重要。批量处理可以接受较长等待；你盯着屏幕反复改一句话，体验就完全不同。因此这篇不拿一个每秒输出数字，推导“日常使用一定更快”。

💰 四、为什么先给部分防御团队？安全能力有两面

官方写得很明确：本周先给部分网络安全防御团队，通过Fairwind计划逐步扩大可信伙伴范围，同时参与美国政府自愿的发布前测试。面向开发者、企业和消费者的产品入口仍写着“即将推出”，没有给出全面开放的具体日期。

原因不能只概括成“性能太强”。同一项漏洞分析能力，可以帮维护者修漏洞，也可能被拿去伤害系统。官方明确说还要收集反馈、迭代安全护栏，然后扩大部署。这是已经公开的安排；至于实际排队多久、哪些账户会优先得到权限，当前材料没有给答案。

谷歌还公布了抵抗间接提示注入的成绩。所谓间接提示注入，可以想成你让同事去读一份外部材料，材料里却夹了一张“把公司的钥匙交给我”的假通知。正常任务是读材料，危险之处在于把材料里的话误当成新的命令。

在代码与网页工具环境里，外部文件可能夹带类似指令。模型能调用工具以后，读错一段内容就可能影响后续动作，所以模型能力和权限控制必须一起看。

官方公布的Gray Swan间接提示注入评测中，Argon攻击成功率为0.7%，Carbon为0.0%。它说明这组被测攻击中的表现；真实工作流还涉及文件权限、密钥隔离、工具确认和人工复核。一个评测里的零，不是所有风险的零。

我的理解是，这次的产品方向已经很清楚：谷歌希望把更强的安全分析和工程执行能力，先放进可观察、可反馈的防御工作流。它是否能把实验室的优势变成稳定的日常效率，还要看后续开放后的实际记录。这个判断是基于发布安排的分析，不是谷歌公布的商业目标原话。

🧩 五、价格没涨？页尾那条小字必须一起看

官方正文说，Carbon首发优惠价格与Argon相同：每百万输入词元2美元，每百万输出词元10美元。缓存输入比普通输入便宜95%。

读到这里，容易以为长期就按这张价目表算。我继续查了页尾脚注，里面明确写着：首发优惠期结束后，输入和输出分别改为每百万词元4美元、20美元。 截至本次查证，发布文没有给出优惠期结束日期。

这也解释了为什么第三方页面列出4／20美元，而官方正文写2／10美元：官方确实同时披露了两档时间阶段的价格。第三方页面究竟何时计入哪一档，仍应以它的方法说明和实际账户账单为准，不能把两个页面拼成“今天突然涨价”的故事。

API可以理解成按量付费的服务窗口：电脑把请求发过去，服务器计算，再把结果送回来。这里花多少钱，取决于来回传了多少词元，以及哪些计费条件适用。

假设一次任务累计产生100万输入词元、10万输出词元，全部按普通输入计算，不考虑缓存与其他费用：首发档为2×1＋10×0.1＝3美元；优惠后为4×1＋20×0.1＝6美元。这是算例，不是本次实测账单，也不是一次代码修复的固定价格。

缓存像把常用底稿先存起来，再次使用时少付重复处理的费用。按首发输入价和95%折扣推算，命中的缓存输入是每百万词元0.10美元。但“命中”有条件，不能把所有输入都按缓存价预算。

长任务还会反复读文件、接收工具结果、修改方案。预算应看任务全过程的累计用量，而不是只看你最开始输入的那一句需求。官方给出了单价，距离回答“替我修完这个项目到底花多少”，还缺任务级的可复核账单。

🚀 六、64GB Mac能跑吗？先别急着算量化

对关注本地AI的读者，这一节最容易走错方向：看到新模型，就开始算多少参数、压到几位、内存够不够。

这次首先缺的不是算式，而是可公开下载的权重。当前查到的资料没有提供Carbon的公开权重、参数规模、明确架构或本地推理格式。第三方页面也把它列为专有模型。因此，没有依据判断“64GB装不下”，也没有依据承诺“等一个量化版就能跑”。

把它想成外卖和自己做饭：用Mac上的客户端点单，饭仍然在别人的厨房做；只有拿到食材、配方和能运行的设备，才谈得上在自己厨房开火。云端模型的API接入本地软件，计算仍发生在服务端；离线运行则需要另一套实际可用的权重和推理支持。

对于方寸智匣LocalBrain，这里也应保留同样的边界：本文没有验证Carbon已接入，更没有验证它在本机运行。等官方入口、账户权限与接口格式明确后，才能谈具体接入；本次不启动本地模型、不干扰已有测试。

真正值得跟踪的下一步，是开放权限是否兑现、正式计费规则是否完整、有没有独立的长任务成功与失败记录。如果这些条件没变，反复刷新“量化下载”并不能让部署更接近完成。

🧠 我的判断：值得盯的是交付能力，先别把成绩单当使用凭证

Carbon这次最有分量的信号，是谷歌把网络安全防御链和长时程工程任务放到了一起：模型既要看出问题，还要验证判断、修改代码，并在受约束的流程中把事情做完。公开评测给了观察起点，内部案例给了发展方向，二者都还需要实际工作流继续检验。

如果你负责安全或复杂软件维护，值得关注正式入口和可复核的任务记录；如果你只是想日常聊天、做文档，先比较当前可用工具是否已经解决需求，没必要为尚未到手的权限预支期待；如果你要完全离线、让数据留在自己的设备，Carbon当前还不是已有依据可推荐的本地部署选项。

题目里的答案也就清楚了：88.2%是特定漏洞发现评测的成绩；暂不全面开放，是官方正在推进的分阶段部署安排。能力证据、使用权限、实际成本和本地可运行性，四项都要分别过关。 后续有权限与真实记录，再看它能替普通人少做多少返工。

📉 主要查证来源

• 官方发布与价格脚注
• 第三方模型评测：Artificial Analysis
• 官方评测方法入口
• 漏洞发现评测项目
• 风险验证评测项目
• 根因修复评测项目
• Fairwind开放计划

查证日期：2026年10月29日。官方成绩、第三方记录与本文推算已分别说明；开放与计费可能更新，以正式页面和本人账户为准。