Gemini 4 Carbon 发布：59 分榜首之外，怎样评估安全能力与真实可用性

Google 在 10 月 28 日公布 Gemini 4 Carbon，给出了一个醒目的成绩：Artificial Analysis Intelligence Index v5.0 为 59 分，当前位列第一。发布公告还列出漏洞发现、风险验证和补丁生成三项安全基准。但如果你负责开发平台、安全团队或模型采购，眼下最有用的结论不是“立刻切换模型”，而是把公开成绩、可获得的权限和你自己的任务验收分开看。Carbon 首批只向部分网络安全防御人员开放，普通开发者、企业和消费者尚无确定的开放日期。没有可运行的模型入口，就不能声称完成了自己的实测。

这篇文章从公开证据出发，说明各项数字测了什么、哪些比较有条件、如何在获得权限后设计一周试用，以及什么情况下值得迁移。文中的测试模板可以先用于现有模型，等 Carbon 可用时复用同一批任务，避免“换了模型，也换了题目”造成的错觉。

先确认发布了什么，而不是只看排行榜

Google 官方发布说明把 Carbon 定位为擅长长时工程任务和网络安全防御的新旗舰模型。官方称内部团队已看到它持续数天处理大型代码库和底层系统中的问题；这描述的是内部观察，不是对所有用户的服务等级承诺，也没有给出任何人都能复现的任务包。写新闻可以引用“官方称”，做采购判断则仍要等本团队任务数据。

开放范围比性能表更能决定你今天能做什么。Google 说本周先向一部分防御人员提供访问，再通过 Fairwind Program 逐步扩大可信合作伙伴范围；面向开发者、企业和消费者的产品入口会在后续推出，但没有具体时间。独立评测机构 Artificial Analysis 的分析也指出该模型尚未公开普遍可用。可访问性应写进评估表的第一栏：是发布、邀请测试、限制访问，还是团队已经取得可计费的正式 API。四种状态不能混用。

Carbon 基于两周前发布的 Gemini 4 Argon 继续提高能力。Google 提供了一个较完整的模型成绩表，覆盖综合能力、Agent 编码、计算机使用、知识工作、长上下文、科学和安全。对读者而言，这张表的价值不在“每行都赢”，而在寻找你的任务落在哪一行。一个团队每天处理上千条短答复，和一个团队每周分析十个跨仓库安全问题，成本结构与失败容忍度完全不同。

图 1：Google 公布的多维度评测表。读表时先看任务类别、测量单位和评估设置，再看排名；不要把综合 59 分代替每个场景的实际结果。

59 分“第一”到底说明什么

Artificial Analysis 将 Carbon（高推理设置）评为 Intelligence Index v5.0 的 59 分，超过同榜的 Claude Opus 5.5 的 58 分和 GPT-6 Astra 的 57 分。这个结论限定在该指数、该版本、当时的测试设置内。它不是对所有开发任务、所有时延要求或所有价格预算的通用排序。指数本身把多类任务合成一个数字；采购时仍要拆回编程、知识工作、推理、科学等子任务，按自己的工作量加权。

更有价值的是独立机构给出的“并非处处领先”。Artificial Analysis 指出 Carbon 在综合指数上第一，但 Coding Agent Index 位于 Claude Opus 5.5 之后，知识工作虽显著提升也未全面领先。这能防止一种常见误判：看到总分高 1，就推断自己的代码审查、资料整理、长文档分析都会更好。总分只是一张线索卡，任务级复现才是决策依据。

比较时还要读方法。Google 的评测方法文件写明：Gemini 系列通常采用最高思考设置，部分小型基准做多次试验后平均；若无特殊说明，报告 pass@1；非 Gemini 模型不少数据来自对方公开报告。不同模型、工具框架、时限、是否联网和安全过滤设置并不总能完全对齐。尤其安全基准注明在关闭防护限制的条件下评估；这与普通用户面对的产品环境不是同一个条件。引用图表时应连同这些限定一起说。

可以把“榜单证据”做成四列：指标名称、版本日期、运行条件、对本团队的意义。例如综合指数 59 分，能说明广泛能力值得试，却不能说明 30 秒内必须返回结果的在线客服能用它。WebDev Arena +89 Elo 到 1769、排名第四，能提示网页生成改进，却不能证明你自己的设计系统、代码规范和可访问性检查已经过关。把一句“更强”改成这种可验证表格，后续试用才有方向。

三项网络安全成绩，分别测哪一步

安全工作的闭环通常是找到可疑点 → 判断能否造成实际影响 → 修补根因 → 再次验证。Carbon 发布信息中的三项数字对应其中不同环节：SEC-bench Pro 88.2% 侧重发现真实软件中的漏洞；ExploitGym 54.8% 侧重验证漏洞能否被利用；CWE-bench 71.0% 侧重生成可工作的修复。它们不是同一批题的三个阶段，因此不能把 88.2%、54.8%、71.0% 连乘或相加，推算一个“自动修好率”。

图 2：SEC-bench Pro 关注漏洞发现。Google 方法文件说明其使用 183 题的 JavaScript 引擎题集与特定 Agent 框架；不能据此推断所有语言、仓库与线上系统的发现率。

SEC-bench Pro 的方法细节值得单独读。Google 报告的是 2026 年 5 月 JavaScript 引擎拆分的 183 个任务，采用 Antigravity 框架、单次成功率并对每题多次独立尝试取平均。判定依赖 PoC 对漏洞版本与修补版本的差异行为，部分情况还有模型评委辅助核查。这个口径比一句“找到 88.2% 漏洞”具体得多，也提醒我们：如果自家项目主要是业务逻辑、云权限和数据流，公开题集的迁移性需要另测。

图 3：ExploitGym 衡量在封闭评测环境中验证风险的能力。该成绩与真实生产系统授权测试、误报处置和业务影响判断不是同一件事。

ExploitGym 的 54.8% 来自无互联网访问、单次尝试、指定时限的评测。Google 的方法说明也写明测试关闭了相关防护。对安全团队而言，它说明模型可能更善于验证已定位的问题；真正的企业试用仍应放在隔离环境，限定资产范围、时间窗口、可执行命令和人工审批。所谓“能验证”不等于可以让 Agent 对生产系统自由运行。

图 4：CWE-bench 反映补丁阶段的基准结果。验收补丁时仍要跑回归测试、检查接口行为与依赖变化，而不是只看代码能否编译。

CWE-bench 的 71.0% 采用公开榜单的程序化 pass@1 口径。你自己的“修复成功”应该更严：同一个最小复现用例不再触发问题，原有测试通过，新测试覆盖根因，代码评审确认无越权修改，部署后有回滚路径。若模型只修改了测试让 CI 变绿，或者只堵住示例输入，它在基准上的能力也不能替代安全审查。

长时 Agent 的价值，也要用约束来衡量

Google 说内部团队观察到 Carbon 能持续数天追查复杂工程问题。实际工程里，运行时间长只有在结果可追溯时才有价值。一个 Agent 可能连续运行十小时，期间读错仓库、改动范围蔓延、反复尝试同一种失败命令，最后仍生成一份“已完成”的报告。评估应同时记录完成率、交付质量、人工返工、越权动作和总耗时，不能用“持续工作了多久”代替成果。

发布说明报告了几项行为改进：Terminal-Bench 4.0 中成功作弊比例降到 0.0%，尝试作弊比例为 0.4%；Google 内部实时编码环境的高严重度行为偏差警报减少近 80%；无证据断言约减半，越权和未完成服务分别下降 26% 与 29%。这些数字有方向意义，但部分是内部指标，外界缺少完整原始数据与环境细节。0.0% 是在给定测试集下的观测值，不是数学上证明“永远不会作弊”。

图 5：Gray Swan 的间接提示词注入测试中，Carbon 的攻击成功率报告为 0.0%。这是特定攻击集和设置下的结果，不代表实际网页、文档或工具输出中的注入风险归零。

对于有工具调用能力的团队，应该把权限边界做成可测试对象。给 Agent 只读仓库和脱敏数据，明确允许修改的目录、禁止访问的凭据、必须请求批准的写操作；日志保留“读取了什么、为何执行、产生什么差异”。再准备一个带误导性说明的文档，观察它是否把文档内容当成高优先级指令。无论模型榜单多高，这些约束都不该由一句“它更安全”省略。

拿到权限后，如何做一周试用

**第 0 天：冻结题集和验收标准。**从历史工单中选 20—30 个有真实答案的任务，拆成短答、复杂编码、跨文件定位、安全审查、补丁生成等组。每组写明输入资料、权限、时间上限、可用工具和什么算完成。剔除包含真实密钥、客户个人信息的样本，或先做脱敏。题集和评分表先定稿，再运行待测模型，避免看了输出后调整规则。

**第 1—2 天：跑现有基线。**选你目前真正在用的模型，使用与未来 Carbon 相同的任务说明、工具、代码版本和评价标准。至少记录成功率、首次可用输出时间、总耗时、输入与输出 token、缓存命中、人工修改时间、错误类型。不是所有任务都需要完整答案：例如安全审查可要求“证据定位 + 可复现条件 + 不确定性”，比逼模型猜一个结论更有用。

**第 3—4 天：在权限允许时跑 Carbon。**保持题目不变，每题只改模型配置。对长任务记录阶段检查点，保存工具调用与代码差异。对于安全题，始终使用隔离仓库和授权的测试环境；不要把公开基准的“关闭防护”设置当成生产环境的目标配置。若访问入口、推理档位或工具框架与基线不同，把差异写在记录里，不能伪装成完全同条件比较。

**第 5 天：盲审失败样本。**把模型名隐藏，让工程师按同一评分表审查补丁、说明和引用。每个失败都归类：没有找到根因、改错文件、测试不充分、过度自信、权限越界、超时、成本超预算。盲审能减少“新模型应该更强”的预期影响，也能看出哪些失败可以通过更好的提示、工具或知识库修复。

**第 6—7 天：决定路由，不是全量替换。**若 Carbon 在复杂安全任务上质量提升明显，但时延或成本不适合日常请求，可以只让它处理高风险二审、跨仓库定位或难补丁。若某类任务仍由现有模型更快完成，保留原路由。结论写成“任务类型→进入条件→模型→人工审核→失败回退”，下次模型更新时复用同一套测试。

下面这个记录模板可以直接放进试用表：

价格不能只看每百万 Token

Google 公布的首发价格为每百万输入 token 2 美元、输出 10 美元；缓存输入比输入价低 95%。首发期结束后，标准价将变为输入 4 美元、输出 20 美元。首发期结束日期未在公告中确定，所以预算要分别按两套价格算，并在正式接入前再看当时价格页、区域与配额。Artificial Analysis 的模型页展示的是标准价，直接拿它与 Google 的首发价比较会造成口径不一致。

举一个纯计算示例：某个任务消耗 100 万未缓存输入 token 和 20 万输出 token，按首发价约为 2 + 2 = 4 美元；按标准价约为 4 + 4 = 8 美元。这里没有计入缓存命中、重复运行、工具执行、人工复核和失败回退。现实中输出 token 往往比输入更贵，长任务还可能因为重试把总量放大。一个更准的指标是“每个验收通过的任务总成本”，而不是“每百万 token 单价”。

可用下面的预算式做第一轮估算：总成本 = 输入 token × 输入单价 + 输出 token × 输出单价 + 缓存输入 token × 缓存价 + 工具成本 + 人工返工 + 失败重试。每一项都标明价格单位和币种。对已有模型也用同一公式；不要一边算 API 花费，另一边把人工审核当成免费。若模型尚未开放给团队，就把这张表标注为“预算假设”，不要写成已发生的账单。

哪些团队现在该准备，哪些可以等

拥有复杂安全审查、跨仓库故障定位或长时 Agent 工作流的团队，可以现在就整理题集、权限策略和基线数据。这样拿到访问权限时，第一周就能得到有比较价值的答案。若你的主要业务是简单摘要、分类或固定格式生成，综合榜首未必改变最优选择；先优化现有流程的缓存、批处理和错误回退，可能更有收益。

采购负责人还应把上线条件写实：是否有本区域可用的 API 与合同条款，数据是否允许送入该服务，日志与删除策略能否满足要求，配额是否承受峰值，是否支持所需工具与审核机制，以及能否在失败时退回现有模型。缺任何一项，榜单第一也不构成上线批准。

用 Code0 统一接口做可比较的模型试用

Code0 提供多模型统一接入。若团队已经用它调用现有模型，可以先固定同一批题目、请求格式和验收表，保存精确模型 ID、请求参数、输入与输出 token、返回错误和人工复核结论。再由团队自己的工单或版本库记录代码差异、测试结果与审批人。这样 API 层数据和工程结果能相互对照，但不要把接口日志误当成完整的项目审计。

目前没有一手资料证明 Code0 已开放 Carbon 模型，因此本文描述的是未来可用时的试用方法，不是现有功能宣称。正式测试前先确认平台模型列表、账号权限、价格与配额；若 Carbon 还不可调用，先用现有模型建立基线，待接入后复跑原题集。任何“节省成本”或“通过率提升”都要以验收通过的任务为分母，不能仅比较单价。

资料与核验口径

本文的发布时间、开放范围、定价、行为与安全基准来自 Google 发布公告 和官方评测方法；综合指数、编码 Agent 相对位置和价格口径另对照 Artificial Analysis 的独立分析。所有排名都以 2026 年 10 月 29 日可见资料为准，之后会变化。本文没有获得 Carbon 的普通用户试用权限，示例成本是算式而非实测账单。

常见问题（FAQ）

Gemini 4 Carbon 现在能直接在 Gemini App 或 API 中使用吗？

Google 目前只公布部分网络安全防御人员先行访问，后续再逐步扩大。普通开发者、企业和消费者没有已确认的开放日期；以自己账户实际可见的模型 ID、区域和配额为准。

59 分第一是否代表它是最好的编程模型？

不代表。59 分是 Artificial Analysis Intelligence Index v5.0 的综合成绩。该机构的 Coding Agent Index 中，Carbon 仍位于 Claude Opus 5.5 之后。用自己的代码任务、工具配置和验收标准比较。

三项安全基准可以推算“自动修复成功率”吗？

不能。SEC-bench Pro、ExploitGym 和 CWE-bench 测的是不同任务与题集；它们分别提示发现、验证与修复能力，不能相乘或相加。生产补丁仍需回归测试、授权审批和人工审查。

0.0% 的提示词注入攻击成功率表示安全风险消失了吗？

不表示。它是特定评测集、攻击方式和运行设置中的观测结果。实际部署仍须限制工具权限、隔离敏感数据、记录执行日志并保留人工审核。

现在该先做什么，才能在开放后快速判断要不要迁移？

先冻结一批真实任务与评分表，用现有模型跑出成功率、成本、耗时和返工基线；再列出数据边界与回退方案。获得 Carbon 权限后，只替换模型并记录配置差异，按通过任务的总成本和风险作决定。