Gemini 4 Carbon : ce qui change pour le code et la cyber
Google présente Gemini 4 Carbon, plus fort qu’Argon sur le code, les agents longs et la cyberdéfense, avec un accès encore très limité.
Google a annoncé Gemini 4 Carbon le 28 octobre 2026 comme son modèle le plus puissant, deux semaines après Gemini 4 Argon. La priorité est claire : cybersécurité, code sécurisé et agents capables de tenir sur des tâches longues.
Pour les professionnels, l’annonce est surtout importante pour ce qu’elle dit de l’usage futur des modèles IA dans l’ingénierie logicielle. Mais l’accès reste très limité au départ, avec un déploiement progressif centré sur les cyberdéfenseurs.
Ce qui change concrètement
Gemini 4 Carbon est présenté comme un modèle fondé sur Gemini 4 Argon, mais renforcé sur plusieurs axes. Google met en avant la programmation, les tâches agentiques et les workflows de cybersécurité défensive. Sur l’Artificial Analysis Intelligence Index v5.0, Carbon est classé numéro 1 avec un score de 59. The Decoder rappelle qu’Argon était à 50 sur ce même index.
Le gain le plus net concerne la cybersécurité. Google indique que Carbon atteint 88,2 % sur SEC-bench Pro pour la détection de vulnérabilités, 54,8 % sur ExploitGym pour l’exploitation, et 71,0 % sur CWE-bench pour le patching. Ces évaluations externes ont été réalisées sans garde-fous, un point important pour interpréter les résultats.
Par rapport à Argon, Google affirme aussi que Carbon fait plus que doubler le taux de réussite sur ses benchmarks internes de génération de code sécurisé. The Verge souligne que le modèle est conçu pour mieux trouver des vulnérabilités et produire du code moins risqué. Pour une équipe de développement, cela signifie potentiellement moins d’allers-retours entre audit, correction et revue, surtout sur des bases de code complexes.
Autre différence importante : la durée des tâches. Google dit avoir conçu Carbon pour des workflows agentiques de longue durée. Des équipes internes l’auraient vu fonctionner pendant plusieurs jours sur des problèmes multi-étapes, avec impasses, analyse de cause racine et correctifs dans de grands dépôts ou des systèmes bas niveau.
Le développement web progresse aussi. Google annonce un gain de 89 points Elo sur WebDev Arena, avec une quatrième place et un score de 1768. C’est utile à suivre pour les équipes qui utilisent déjà l’IA pour prototyper des interfaces, corriger du front-end ou générer des composants full-stack.
Comment l'essayer
Tu ne peux pas compter sur un accès immédiat à Gemini 4 Carbon. Google dit l’intégrer au processus volontaire de test pré-lancement du gouvernement américain et l’ouvrir d’abord à un sous-ensemble de cyberdéfenseurs. The Verge confirme que le modèle est réservé au lancement à un groupe limité d’acteurs de la défense en cybersécurité.
L’étape suivante annoncée passe par le Fairwind Program, avec des partenaires jugés de confiance. Une disponibilité plus large pour les développeurs, les entreprises et les consommateurs est prévue ensuite, mais Google ne donne pas de calendrier précis.
Ars Technica rapporte que Carbon devrait arriver d’abord pour des abonnés AI Ultra et des développeurs via l’API Gemini, sans disponibilité large au moment de l’annonce. À ce stade, mieux vaut donc parler d’un modèle annoncé et en déploiement contrôlé, pas d’un outil déjà généralisé.
Côté prix, Google annonce un tarif introductif de 2 dollars par million de jetons d’entrée et 10 dollars par million de jetons de sortie. Les jetons d’entrée mis en cache sont annoncés avec une réduction de 95 %. Après la période introductive, Carbon doit passer à 4 dollars par million de jetons d’entrée et 20 dollars par million de jetons de sortie. La date de fin de cette période n’est pas communiquée.
Pour la France, la page officielle des régions disponibles pour Google AI Studio et l’API Gemini inclut la France. Cela ne signifie pas que Carbon y est déjà ouvert à tous. La documentation Gemini précise aussi que les services ne sont accessibles que dans une région disponible et que, pour l’EEE, la Suisse et le Royaume-Uni, certaines conditions de traitement des données des services payants s’appliquent aussi aux services gratuits.
Pour qui, et pour quoi faire
Le premier public visé est évident : les équipes de cybersécurité défensive, les équipes AppSec, les éditeurs cloud et les organisations qui doivent analyser de gros volumes de code. Carbon est positionné sur tout le cycle : trouver une faille, vérifier si elle est exploitable, puis proposer un correctif.
Un cas d’usage professionnel concret : une équipe sécurité reçoit un signalement de vulnérabilité dans une grande application interne. Un agent basé sur Carbon pourrait parcourir les dépôts concernés, identifier les fichiers liés, formuler une hypothèse de cause racine, générer un correctif, puis préparer une pull request avec des tests. L’humain garderait la validation, mais l’agent absorberait une partie du travail d’investigation.
Ce type d’usage rejoint les méthodes de travail avec agents IA : cadrer la mission, donner les accès nécessaires, définir les limites, journaliser les actions, puis faire relire les résultats. Pour structurer ce type de démarche, tu peux consulter le guide NXUS sur comment faire travailler un agent IA dans son entreprise.
Limites et points de vigilance
Le premier point de vigilance est l’accès. Gemini 4 Carbon n’est pas encore disponible largement. Si tu prévois une feuille de route IA pour ton équipe de développement, il faut garder Argon ou d’autres modèles disponibles comme base opérationnelle, et considérer Carbon comme une option à suivre.
Le deuxième point concerne les benchmarks. Les scores sont élevés, mais ils ne remplacent pas une évaluation sur ton code, tes règles de sécurité et tes environnements. Ars Technica rappelle que les grands modèles de pointe restent souvent proches sur certains tests, même quand un modèle passe devant.
Troisième point : les capacités cyber sont sensibles. Un modèle performant en détection et validation de vulnérabilités peut aider les défenseurs, mais il doit être encadré. Google insiste sur un déploiement progressif, des garde-fous, la résistance à l’injection de prompt et le monitoring. Cela explique en partie l’accès limité.
Enfin, les tâches longues coûtent du temps et des jetons. Même avec un prix annoncé, le coût réel dépendra du volume de contexte, des appels outils, du nombre d’itérations et de la quantité de sorties générées. Le prix en France, hors conditions API générales, n’est pas détaillé au-delà des tarifs publics annoncés en dollars.
L'avis NXUS
Gemini 4 Carbon est un signal fort pour les équipes techniques : les modèles se spécialisent de plus en plus dans les agents longs et le code sécurisé. Mais il ne faut pas le traiter comme une solution prête à déployer partout dès maintenant.
Si tu es DSI, RSSI ou responsable produit, le bon réflexe est de préparer les cas d’usage, les jeux de tests et les règles de validation avant l’ouverture large. Le jour où Carbon sera accessible, tu pourras comparer ses résultats à ceux d’Argon ou d’autres modèles sur des tâches réelles.
Pour l’instant, le meilleur usage est stratégique : suivre l’accès, estimer les coûts, identifier les workflows de patching ou de revue de code qui méritent une expérimentation encadrée.
Sources
Source : Google
Rudy Molinillo
