Gemini 4 Carbon: Googles stärkstes Modell geht zuerst an Cyber-Verteidiger

Worum es geht

Google hat am 28. Oktober 2026 Gemini 4 Carbon vorgestellt, nur zwei Wochen nach dem Vorgänger Gemini 4 Argon. Im Blogbeitrag von Koray Kavukcuoglu, Chef-KI-Architekt von Google und Senior Vice President bei Google DeepMind, heißt es:

„Unser stärkstes Modell, mit Spitzenleistungen in der Cybersicherheit und bei Aufgaben mit langem Zeithorizont.“

Carbon soll vor allem zwei Dinge gut können: Software gegen Angriffe absichern und große, verschachtelte Programmieraufgaben über lange Zeit bearbeiten. Ausprobieren kann es die breite Öffentlichkeit aber noch nicht. Zuerst bekommen ausgewählte Sicherheitsfachleute, sogenannte Cyber-Verteidiger, Zugang. Entwickler, Unternehmen und Privatnutzer müssen warten. Google nimmt nach eigenen Angaben am freiwilligen Testverfahren der US-Regierung teil, bei dem Modelle vor ihrer Veröffentlichung geprüft werden. Laut techgenyz bedeutet das aber keine staatliche Zulassung oder Zertifizierung.

Am Rande: Laut CNET hat Google in derselben Woche auch Genie 4 vorgestellt. Das ist ein sogenanntes Weltmodell, das physikalische Welten simuliert, zum Beispiel für Robotik oder Spieleentwicklung. Neu ist, dass es auch Ton erzeugt, etwa Hintergrundgeräusche und Dialoge. Für Genie 4 gibt es eine Warteliste.

Was Carbon können soll

Im Mittelpunkt stehen sogenannte agentische Arbeitsabläufe. Die KI beantwortet dabei nicht nur einzelne Fragen, sondern arbeitet selbstständig viele Schritte nacheinander ab. Googles interne Teams haben nach eigenen Angaben beobachtet, wie Carbon tagelang an komplexen Engineering-Aufgaben drangeblieben ist. Dabei habe das Modell auch Sackgassen überwunden und neue Lösungswege ausprobiert. Als Beispiele nennt Google das Aufspüren der Ursachen versteckter Fehler und deren Behebung in großen Codebasen und systemnahen Programmen. Systemnah heißt: Software, auf der andere Software aufbaut, und Fehler dort sind besonders folgenreich. Quartz ordnet das so ein: Wer ein Modell tagelang arbeiten lässt, steuert nicht mehr jeden Schritt, sondern prüft vor allem das Ergebnis.

Beim Thema Sicherheit teilt Google die Abwehr in drei Phasen ein: Schwachstellen finden, ihre Gefahr prüfen und sie beheben. Für jede Phase nennt der Konzern einen Benchmark, also einen standardisierten Leistungstest:

• SEC-bench Pro (Finden): Das Modell bekommt eine Fehlerbeschreibung aus einem veröffentlichten Bericht und muss daraus eine Eingabe bauen, die den Fehler tatsächlich auslöst, einen sogenannten Proof of Concept.
• ExploitGym (Prüfen): Laut Berkeley RDI enthält der Test 898 echte Schwachstellen aus normalen Anwendungsprogrammen, Googles JavaScript-Engine V8 und dem Linux-Kernel. Die KI muss daraus einen vollständigen Exploit bauen, also einen funktionierenden Angriff, der fremden Code ausführt. Je nach Aufgabe sind unterschiedliche Schutzmechanismen eingeschaltet.
• CWE-bench (Beheben): Der Test stammt von Collinear AI. Ein Patch zählt nur, wenn er die Lücke schließt und das Programm danach weiterhin normal funktioniert.

Außerdem soll Carbon laut Googles internen Tests mehr als doppelt so oft sicheren Code schreiben wie Argon. Absolute Zahlen dafür nennt Google nicht. Die Sicherheitsfirma Wiz, die inzwischen zu Google gehört, meldet laut dem Blogbeitrag, Carbon liege bei Tests zum Web-Penetrationstesting vorn, also bei simulierten Angriffen auf Webanwendungen. Welche Tests das waren und mit welchem Abstand, bleibt offen. Laut techgenyz berichtet zudem Googles Chrome-Team, Carbon erzeuge hochwertige Sicherheitspatches mehr als zehnmal so oft wie ein nicht genanntes Konkurrenzmodell.

Die Zahlen im Überblick

Zu den Argon-Werten gibt es einen Vorbehalt. Quartz schreibt, Googles Blogbeitrag nenne weder einen Argon-Wert im neuen Index noch Ergebnisse von Konkurrenten. techgenyz liefert die Argon-Werte in seiner Tabelle, merkt aber selbst an, dass sie nicht unter nachweislich gleichen Bedingungen gemessen wurden. Wichtig ist außerdem: Laut Google liefen die drei wichtigsten Sicherheitstests ohne Schutzmechanismen (Guardrails). Im späteren Einsatz mit eingeschalteten Sicherheitsfiltern können die Ergebnisse anders aussehen.

Der Artificial Analysis Index stammt von einer unabhängigen Organisation und bündelt viele Aufgabenarten zu einem Gesamtwert. Er ist damit der breiteste Hinweis auf die allgemeine Leistungsfähigkeit. Laut CNET liegt Carbon dort auch vor OpenAIs GPT-6 Astra. Die WebDev Arena funktioniert anders: Zwei Modelle bauen auf dieselbe Anfrage hin je eine Web-App, und Nutzer stimmen ab, welche besser ist. Aus vielen solchen Duellen entsteht ein Elo-Wert, ähnlich wie beim Schach. Hier verbessert sich Carbon um 89 Punkte, landet aber nur auf Platz 4. Wer vor Carbon liegt, nennt Google nicht.

Das Tech-Portal Geeky Gadgets beruft sich auf eine Analyse des YouTubers Paul Lipsky. Danach soll Carbon in 16 von 18 Testbereichen vor GPT-6 Astra, Claude Opus 5.5 und Claude Fable 5.1 liegen. Eine eigene Messung ist das nicht.

Ehrlicher, weniger Schummeln, robust gegen Manipulation

Breiten Raum gibt Google dem Verhalten des Modells. Auf Terminal-Bench 4.0 sank der Anteil erfolgreicher Schummelversuche auf 0,0 %. Gemeint ist, dass das Modell den Test austrickst, statt die Aufgabe wirklich zu lösen. Versucht hat es das noch in 0,4 % der Fälle. Gleichzeitig stieg nach Googles Angaben die Genauigkeit. Weitere Herstellerangaben aus internen Tests:

• Bei der Programmierarbeit mit Googles eigenen Teams gab es fast 80 % weniger schwerwiegende Fehlausrichtungs-Warnungen. Fehlausrichtung (Misalignment) heißt, dass das Modell nicht im Sinne der Nutzer handelt.
• Carbon macht etwa halb so viele unbelegte Behauptungen wie Argon.
• Carbon tut 26 % seltener mehr, als verlangt wurde, und 29 % seltener weniger.
• Ist eine Aufgabe blockiert, erfindet das Modell keine Belege, sondern listet auf, was es zum Weitermachen braucht. Bei unklaren Anfragen sammelt es erst Quellen und weist auf Widersprüche hin.

Gegen Prompt Injection soll Carbon vollständig immun gewesen sein: In Googles Tests gelang kein einziger Angriff (0,0 %). Bei Prompt Injection verstecken Angreifer Befehle in Texten, Webseiten oder Dateien, die die KI liest, und bringen sie so dazu, gegen die Interessen ihres Nutzers zu handeln. Für Agenten, die tagelang fremden Code und Dokumente durchsehen, ist das ein zentrales Risiko. Quartz merkt an, dass ein perfektes Ergebnis in Googles eigenen Tests nichts darüber sagt, wie das Modell auf Angriffe reagiert, die Google nie getestet hat.

Zugang und Preise

Google verteilt Carbon in Stufen. Seit der Woche der Ankündigung haben ausgewählte Cyber-Verteidiger Zugang. Danach sollen über das Fairwind-Programm weitere „vertrauenswürdige Partner“ dazukommen. Erst danach folgen Entwickler, Unternehmen und Privatnutzer, ohne festen Termin. CNET hat nachgefragt, wann das Modell allgemein verfügbar wird, aber keine Antwort bekommen. Bei Argon vergingen laut CNET und Geeky Gadgets etwa ein bis zwei Wochen bis zur öffentlichen Freigabe. Die gestaffelte Freigabe hat einen Grund: Fähigkeiten wie das Finden und Ausnutzen von Lücken lassen sich zur Verteidigung wie zum Angriff einsetzen.

Tokens sind die Textstücke, in die ein Modell Ein- und Ausgaben zerlegt, ungefähr Wortteile. Der Einführungspreis entspricht dem von Argon zum Start. Für zwischengespeicherte Eingaben (Caching), also Kontext, der mehrfach mitgeschickt wird, gibt es 95 % Rabatt. Wann der Einführungspreis endet, sagt Google nicht. Wer jetzt plant, sollte deshalb mit dem doppelten Preis rechnen.

Einordnung

Google hat nach langer Pause wieder Tempo aufgenommen. Laut CNET war Argon das erste neue Spitzenmodell des Konzerns seit elf Monaten, und jetzt folgt Carbon nach nur zwei Wochen. Inhaltlich setzt Google klar auf Cybersicherheit und lang laufende Agenten. Das sind die Bereiche, in denen ein Modell besonders nützlich und zugleich besonders gefährlich sein kann. Dass Verteidiger zuerst Zugang bekommen, passt zu diesem Doppelcharakter.

Kritisch bleibt: Fast alle Zahlen stammen von Google selbst. Wichtige Vergleichswerte fehlen, Konkurrenten tauchen in Googles Beitrag nicht auf, und die Sicherheitstests liefen ohne Schutzfilter. Unabhängig ist nur der Artificial Analysis Index, und dort liegt Carbon tatsächlich vorn. Bei der Webentwicklung reicht es dagegen nur für Platz 4. Für die meisten Leser ist Carbon vorerst ein Modell, über das man lesen, das man aber nicht nutzen kann. Ob die Fortschritte bei Ehrlichkeit und Manipulationsschutz auch außerhalb von Googles Testumgebung halten, werden erst unabhängige Tests nach der breiten Freigabe zeigen.