Gemini 3.6 Flash、エージェントの出力トークンを削減し、軽量なCyberバリアントで脆弱性探索を拡大

GoogleはGemini Flash製品ラインを3つのエンジニアリング用途に分けた。3.6 Flashは汎用エージェント、プログラミング、マルチモーダル処理を担い、3.5 Flash-Liteは大量の低レイテンシリクエストに特化する。3.5 Flash Cyberは3.5 Flashをベースに、脆弱性の発見、検証、修正向けにファインチューニングされている。GoogleはArtificial Analysisのデータを引用し、3.6 Flashは3.5 Flashと比べて出力トークンの使用量が平均17%少なく、Flash-Liteの測定速度は毎秒350出力トークンだとしている。これらの数値は長時間実行されるエージェントの総コストに直接影響するが、プロンプト、ツールループ、提供リージョンによって変動する。

Cyber版の設計で重視されているのは、1回の高コストな推論で監査を完了することではない。CodeMenderがより小さなモデルを並列または反復的に呼び出し、より多くの実行パスを探索したうえで、脆弱性レポートを集約できるようにすることだ。Googleによると、固定された呼び出し予算のもとでV8から55件の確認済み問題を発見し、そのうち10件は比較対象モデルでは検出されなかった。また、Chromeのコミットスキャンにも使用されている。ただし、これらは主にGoogle社内の評価であり、一部は非公開のため、外部から完全に再現することはできない。

デプロイ上の制約も同様に重要だ。3.5 Flash Cyberは当初、CodeMenderを通じて政府機関および信頼できるパートナーにのみ提供され、一般提供されるAPIモデルではない。エンジニアリングチームは、単発の価格だけを比較するのではなく、ワークロードごとに成功率、エンドツーエンドのトークン数、再試行回数、Time to First Token（TTFT）を個別に検証すべきだ。セキュリティチームは、特化型の小規模モデルが同じ予算内でコードパスのカバレッジを拡大できるか、またアクセス制限付きバージョンの機能がいつ一般のGemini APIに提供されるかに注目する必要がある。