Google gibt sein Cyber-Modell nur an geprüfte Verteidiger ab

Google hat am 2. September mit Gemini 3.8 Flash und Gemini 3.8 Flash Cyber zwei Modelle vorgestellt, wie ein Blogbeitrag von Tulsee Doshi und Raluca Ada Popa zeigt. Das Cyber-Modell soll Softwareschwachstellen aufspüren und beheben. Zugang erhalten nur geprüfte Verteidiger über das neue Fairwind-Programm. Für Aufsicht und Einkauf in Deutschland, Österreich und der Schweiz zählt deshalb weniger die Testleistung als die Zugangskontrolle.

Google stellt zwei Modelle mit gleicher Basis, aber ungleichem Zugang vor

Die beiden Modelle teilen laut Google dieselbe Grundintelligenz und sind dennoch sehr unterschiedlich zugänglich. Im Blogbeitrag vom 2. September beschreiben die Autorinnen Gemini 3.8 Flash als breit verfügbares Standardmodell. Gemini 3.8 Flash Cyber ist die auf Cybersicherheit spezialisierte Variante. Der Beitrag spricht von der dritten Flash-Welle in kurzer Folge. Er hebt Abläufe hervor, in denen Modelle ihre Ergebnisse wiederholt bewerten und verfeinern. Sämtliche Leistungsangaben stammen von Google oder seinen Partnern, eine unabhängige Prüfung liegt nicht vor.

Das Standardmodell kostet in der Einführungsphase 0,75 Dollar pro einer Million Eingabe-Tokens (Texteinheiten) und 3,75 Dollar pro einer Million Ausgabe-Tokens. Das ist derselbe Einstiegspreis wie bei Version 3.7 Flash. Die Einführungsphase läuft bis zum 31. Dezember 2026. Ab dem 1. Januar 2027 sollen 1,50 Dollar und 7,50 Dollar gelten. Als Leistungsangaben nennt Google 54,9 Prozent auf dem Test HLE-Verified sowie Verbesserungen bei DeepSWE, Vals Finance und Harvey Legal.

Im Mittelpunkt steht jedoch das Cyber-Modell. Google behauptet Spitzenleistung beim Finden von Schwachstellen und sagt, das automatische Beheben habe Vorrang vor Angriffsfähigkeiten gehabt. Die Fortschritte der gemeinsamen Basis beim Programmieren und Schlussfolgern sollen auch aus dem Training im anspruchsvollen Cyberbereich stammen. Beide Varianten sind damit werblich verzahnt, organisatorisch aber getrennt: hier das öffentliche Standardmodell, dort der Zugang für ausgewählte Verteidiger. Diese Trennung gehört in Architekturentscheidungen, beide Modelle als „irgendwie Gemini“ zu verbuchen wäre ein Fehler.

Fairwind öffnet Flash Cyber nur für vertrauenswürdige Verteidiger

Den priorisierten Zugang regelt das Fairwind-Programm, das Google parallel zu den Modellen vorgestellt hat. Es richtet sich an „Trusted Defenders“, also vertrauenswürdige Verteidiger: Behörden, Betreiber kritischer Infrastruktur und Entwickler, die wichtige Software pflegen. Google beschreibt Fairwind als Programm mit begrenztem Zugang für Regierungen und vertrauenswürdige Partner, die fortgeschrittene Fähigkeiten zur Cyberabwehr nutzen wollen.

Die Rollen sind klar umrissen. Gemeint sind nationale Cyberbehörden und Netze des öffentlichen Sektors sowie Betreiber kritischer Infrastruktur in Gesundheit, Telekommunikation, Energie und Finanzen. Dazu kommen Betreuer zentraler Plattformen, deren Absicherung viele nachgelagerte Nutzer betrifft. Teilnehmende Organisationen sollen strenge Betriebsstandards akzeptieren. Dazu zählt, den Zugang auf interne Teams für Cybersicherheit, Reaktion auf Sicherheitsvorfälle oder Penetrationstests zu beschränken. Hinzu kommen Schutzmaßnahmen wie Multi-Faktor-Authentifizierung.

Auf der Programmseite von DeepMind ergänzt Google Angaben zu Zugriffsverfolgung, Multi-Faktor-Authentifizierung und dem Werkzeugrahmen CodeMender. Mit CodeMender soll Flash Cyber Schwachstellen finden, verifizieren und Korrekturen in einer sicheren Cloud-Umgebung erzeugen. Auch das sind Herstellerangaben. Sie beschreiben einen Verteidigungsweg, belegen aber noch keine öffentlich nachvollziehbare Steuerungsstruktur.

Google nennt mehr als 650 teilnehmende Partner weltweit und kündigt an, Fairwind mit den Bedürfnissen der Partner weiterzuentwickeln. Für Leserinnen und Leser hierzulande ist die Zahl weniger wichtig als die Frage, welche Partnerkategorien ansprechbar sind und welche Nachweise das Aufnahmeverfahren verlangt. Entscheidender ist ein anderer Punkt: Wer legt in der Praxis fest, wer vertrauenswürdig bleibt, wer pausiert wird und welche Protokolle dafür vorliegen?

Der Zuschnitt auf Verteidiger ist grundsätzlich nachvollziehbar. Er sollte aber in prüfbaren Zugangskriterien, Überprüfungsfristen und klaren Ablehnungsgründen stehen, nicht nur in einem Ankündigungstext. Ein Programm, das Fähigkeiten begrenzt, muss auch erklären können, warum jemand draußen bleibt.

Lockerere Schutzvorkehrungen machen die Zugangskontrolle zur Sicherheitsfrage

Der sicherheitspolitisch wichtigste Satz im Modellbeitrag fällt eher leise: Flash Cyber wird mit lockereren Schutzvorkehrungen für Cybersicherheit ausgeliefert und ist deshalb nur vertrauenswürdigen Verteidigern zugänglich. Gemini 3.8 Flash erscheint dagegen mit Schutzmaßnahmen gegen Missbrauch in den Bereichen CBRN (chemische, biologische, radiologische und nukleare Gefahren) und Cyberangriffe. Google verweist dafür auf sein Frontier Safety Framework, das Rahmenwerk für Sicherheit bei Spitzenmodellen.

Das ist Dual-Use, also doppelte Verwendbarkeit, in Reinform. Mehr Fähigkeit beim Finden und Beheben von Schwachstellen bedeutet potenziell mehr Fähigkeit, die sich missbrauchen ließe. Googles Antwort lautet Zugangskontrolle: Die lockereren Schutzvorkehrungen gelten nur hinter Fairwind. Das ist eine Entscheidung der Steuerung und ersetzt keine technische Absicherung.

Organisationen bewerten deshalb nicht allein die Modellgüte, sondern die Risikoklasse des Einsatzes. Ein Team, das Korrekturen in der eigenen Codebasis priorisiert, steht anders da als ein breit ausgerollter Agent mit wenig Protokollierung. Die Grenze der doppelten Verwendbarkeit ist eine Betriebsfrage mit Schulung, Ticketpflicht und dokumentiertem Einsatzbereich. Weil Google beide Modelle bewusst unterschiedlich absichert, gehören sie auch getrennt in Risikoregister und Modellinventare.

Positiv fällt auf, dass Google die lockereren Schutzvorkehrungen offen benennt, denn das gibt Aufsicht und Einkauf wenigstens einen Anhaltspunkt.

Dieser Text behandelt Politik, Zugang und Transparenz, nicht Angriffsschritte oder Anleitungen. Zu agentischen Angriffsketten und der Einordnung von Red Teaming gibt es eine eigene Analyse zu Googles Red Team und agentischen Angriffsketten.

Die Testzahlen sind Herstellerangaben und beweisen noch keinen Nutzen im Betrieb

Beim Finden von Schwachstellen zeigt Flash Cyber laut Google Spitzenleistung auf CyberGym, einem branchenüblichen Test für diese Aufgabe. Das Modell übertreffe demnach sowohl 3.5 Flash Cyber als auch deutlich größere Spitzenmodelle. Zusätzlich nennt Google einen internen Test über komplexe Codebasen in 20 Programmiersprachen mit einer Erfolgsquote von über 70 Prozent. Reale Verteidigung, so der Beitrag, beschränke sich nicht auf C- und C++-Code wie in CyberGym. Das Argument überzeugt, doch ein interner Test lässt sich extern kaum wiederholen, solange Methodik, Datenschnitt und Fehlerarten nicht offenliegen.

Dieses Bild wurde mit KI generiertProviderhiggsfieldModellgpt_image_2PromptAbstract soft barrier metaphor and blank logbook on a clean desk, cool daylight, dual-use boundary mood without UI, photorealistic, no logos, no brand names, no readable text, 16:9

Solche Zahlen sind ein Richtungssignal, kein Zertifikat. Für Beschaffung und Aufsicht zählen andere Punkte: welche Arten von Funden gemeint sind, was Fehlalarme kosten und welche menschliche Verifikation Pflicht ist. Dazu kommt, ob das Finden an ein Verfahren zum Beheben und Einordnen gebunden bleibt. In der Praxis scheitern Pilotprojekte selten am fehlenden Beeindruckungseffekt. Sie scheitern an der Ticketflut, unklarer Zuständigkeit und fehlender Zeit zur Prüfung. Findet ein Modell mehr, ohne dass der Prozess mehr verifiziert und priorisiert, entsteht vor allem Lärm.

Beim automatischen Beheben nennt Google mehrere Vergleichswerte. Auf CWE-Bench von Collinear erreicht Flash Cyber bei pass@1, der Quote korrekter Lösungen im ersten Versuch, 47,2 Prozent. Ein führendes Spitzenmodell kommt auf 47,8 Prozent, kostet aber deutlich mehr. Chrome Security habe 2,6-mal mehr korrekte Korrekturen erzeugt als die besten größeren kommerziellen Modelle. Wiz berichtet eine um 7,5 bis 9,7 Prozent höhere Trefferquote (Recall) bei 2,3- bis 5,2-mal niedrigeren Kosten. Cloud Vulnerability Research habe eine kritische, grundlegende Schwachstelle in unter zwei Stunden gefunden, für die Recherche und Entdeckung sonst Monate dauerten.

Relative Verbesserungen ohne vollständig offengelegte Vergleichsbasis bleiben Deutungsangebote. Die 2,6-fache Zahl korrekter Korrekturen sagt nichts über Prüfaufwand, Rückschritte oder Einsatzfähigkeit in der eigenen Pipeline. Die Erfolgsquote auf Augenhöhe bei niedrigeren Kosten ist interessant, doch für Hochrisiko-Code bleibt die menschliche Freigabe nötig. Die Zwei-Stunden-Anekdote illustriert Tempo, ersetzt aber keine Statistik über die durchschnittliche Zeit bis zur Einordnung eines Fundes. Auch Partnertests leben von speziellen Datenschnitten, was bei Chrome oder Wiz wirkt, überträgt sich nicht automatisch auf gewachsene Altsysteme, Firmware oder regulatorisch abgeschottete Umgebungen.

Sinnvoll ist eine schlichte Lesehaltung: Jede Partnerangabe wird in drei Spalten geprüft, nämlich was gemessen wurde, was nicht gemessen wurde und welche Betriebsannahme stillschweigend mitläuft. Tempo ohne Verifikation ist kein Vorteil für Verteidiger, es liefert nur schneller Material in denselben Engpass.

Aufsicht und Einkauf brauchen prüfbare Nachweise zu Zugang und Protokollierung

Öffentlich sichtbar sind bisher vor allem Programmrahmen, Zielgruppen und Mindeststandards wie Multi-Faktor-Authentifizierung und die Beschränkung auf bestimmte Teams. Für Aufsicht und interne Revision bleiben mehrere Punkte offen oder zumindest nicht in der Tiefe dokumentiert:

• Offen ist, welche Zugriffsprotokolle wie lange geführt werden und wer sie prüfen darf.
• Unklar bleibt, ob vor dem Einspielen eines Patches eine menschliche Freigabe verpflichtend ist.
• Es fehlen Angaben dazu, wie Fehlverhalten, weitergegebene Zugangsdaten oder ausgeweitete Einsatzzwecke geahndet werden.
• Ungeklärt ist, welche Telemetriedaten beim Kunden bleiben und welche beim Anbieter.
• Der Entzug des Status als vertrauenswürdiger Verteidiger samt Fristen und Belegen ist nicht beschrieben.
• Offen sind Export-, Wohnsitz- und Zuständigkeitsregeln für Antragsteller aus Deutschland, Österreich und der Schweiz.

Die Zusage, Zugriffe zu verfolgen, genügt dem Einkauf selten. Gebraucht werden die Zuordnung zu Rollen, Zweckbindung, Aufbewahrung und Nachweisbarkeit gegenüber interner Kontrolle oder Aufsicht. Ohne sie bleibt Multi-Faktor-Authentifizierung eine Hygienemaßnahme und kein Beleg für gute Steuerung. In Pilotverhandlungen sollte deshalb nicht nur der Zugang zur Programmierschnittstelle auf dem Zettel stehen, sondern ein Kontrollkonzept. Es klärt, wer Eingaben und Code-Ausschnitte sehen darf, wie Zugangsschlüssel behandelt werden und wie Forschungsumgebung und Produktivnähe getrennt sind.

Auch regulatorisch ist der Fall relevant. Die KI-Regulierung unter dem EU AI Act, der KI-Verordnung der Europäischen Union, verlangt ohnehin, Risikoklassen, Transparenz und Verantwortlichkeiten ernst zu nehmen. Wie das in der Praxis aussieht, zeigt der Überblick zum EU AI Act in vier Fragen. Gelangen leistungsfähige Cyber-Modelle in kritische Umgebungen, rücken Kennzeichnung, Dokumentation und Nachvollziehbarkeit näher. Das gilt auch dann, wenn die Ankündigung vor allem den Vorteil für Verteidiger betont. Die Transparenzpflichten zum 2. August 2026 beschreiben, was dabei auf Organisationen zukommt.

Fairwind abzulehnen ist damit nicht gemeint. Das Programm sollte wie jedes privilegierte Fähigkeitsprogramm behandelt werden, mit schriftlichen Leitplanken, Überprüfungsterminen und Ausstiegskriterien. In regulierten Umfeldern ist Tempo ohne Akte oft teurer als Tempo mit Akte. Als Raster für die nächste Gesprächsrunde taugt eine kurze Gegenüberstellung, die keine Rechtsberatung und keine Sicherheitsarchitektur ersetzt.

Fairwind wirkt wie ein belastbarer Verteidigungsweg, wenn:

• Zugangskriterien öffentlich oder vertraglich klar sind und Ablehnungen begründet werden können.
• Protokollierung, Authentifizierung, Rollenbindung und Entzugsverfahren dokumentiert und prüfbar sind.
• Abläufe zum Beheben von Schwachstellen menschliche Prüfung, Tests und Rücknahmepflichten enthalten.
• Grenzen der doppelten Verwendbarkeit konkret benannt sind: was erlaubt ist, was untersagt und wie geprüft wird.
• Erfolg an verifizierten, einsetzbaren Korrekturen mit benannter Verantwortung gemessen wird und nicht an der Zahl der Funde.

Es driftet in Richtung bloßer Demonstration, wenn:

• Testberichte als Einzige die Beweislast tragen.
• „Vertrauenswürdiger Verteidiger“ ein Etikett ohne Überprüfungszyklus bleibt.
• Lockerere Schutzvorkehrungen betont werden, die Kontrollen aber nur angedeutet sind.
• Das Tempo beim Finden gefeiert wird, ohne Qualität der Korrekturen und Rückschritte zu behandeln.
• Pilotberichte nur Erfolge zeigen und Fehlerarten aussparen.

Partnerzitate zeigen Verbreitung und Erzählung, aber keine automatische Übertragbarkeit auf die eigene Bedrohungs- und Rechtslage. Als Gesprächseinstieg taugen sie, als alleinige Entscheidungsgrundlage nicht.

Google hat mit Gemini 3.8 Flash und Flash Cyber eine geschlossene Geschichte erzählt: ein Standardmodell für die Breite, das Cyber-Modell hinter Fairwind für vertrauenswürdige Verteidiger, Beheben vor Angriff, bewusst lockerere Schutzvorkehrungen. Die Zahlen sind Angaben von Hersteller und Partnern, politisch wirksam ist vor allem die Zugangslogik. Behörden, Betreiber kritischer Infrastruktur, Maintainer und Aufsichten sollten Fairwind deshalb zuerst an Zugang, Protokollierung, Verwendungsgrenzen und Nachvollziehbarkeit nach der KI-Verordnung messen. Wer eine Demo sieht, lässt sich die Kontrollen zeigen und nicht nur die Trefferquote. Bleibt die Frage offen, ob das Modell nachvollziehbares Patching liefert oder vor allem eine gute Folie, ist Warten keine Schwäche.