Gemini 3.8 Flash se lance avec une version Cyber sous accès contrôlé

Une sortie confirmée le 2 septembre

Google a annoncé Gemini 3.8 Flash et Gemini 3.8 Flash Cyber le 2 septembre 2026. La page officielle n’affiche pas d’heure, mais 9to5Google signalait à 8 h 18, heure du Pacifique, soit 17 h 18 CEST, que le déploiement était déjà en cours. Le changelog de l’API et la fiche technique de Google DeepMind ont été mis à jour le même jour.

Gemini 3.8 Flash est disponible dans Gemini API et Google AI Studio, ainsi que dans Antigravity, Android Studio et Stitch. Google l’intègre aussi à Gemini Enterprise, à la recherche AI Mode, à Google Sheets et à l’application Gemini pour les abonnés Google AI Pro et Ultra. Cette diffusion immédiate distingue une version utilisable d’une simple démonstration de laboratoire.

Flash standard et Cyber ne visent pas le même public

Gemini 3.8 Flash constitue la version largement accessible. Google le positionne pour le développement logiciel, les agents et les raisonnements en plusieurs étapes. Il accepte du texte, des images, de l’audio et de la vidéo, puis produit du texte. Sa fenêtre de contexte atteint un million de tokens et sa sortie peut aller jusqu’à 64 000 tokens, comme l’indique la model card.

Gemini 3.8 Flash Cyber repose sur la même base, mais possède des capacités et des garde-fous différents. Il n’est ni proposé librement dans l’application Gemini ni ouvert à tous dans l’API. Son accès passe par Fairwind, un programme destiné à des autorités publiques, opérateurs d’infrastructures critiques et mainteneurs de logiciels que Google considère comme des défenseurs de confiance.

Google met l’accent sur le code et les agents

Google attribue les progrès de 3.8 Flash à un entraînement renforcé en cybersécurité et à de longues boucles agentiques. Le modèle peut consacrer davantage d’étapes au raisonnement, enchaîner des appels d’outils et réviser son travail. L’entreprise revendique 73,7 % sur DeepSWE v1.1, 89,4 % sur Terminal-Bench 2.1 et 54,9 % sur HLE-Verified.

Ces valeurs proviennent du tableau et de la méthodologie publiés par Google. Elles regroupent des tâches et des conditions différentes, et ne remplacent pas un essai sur un dépôt réel avec ses dépendances, sa politique de sécurité et ses critères d’acceptation. Le tableau montre d’ailleurs que Gemini 3.8 Flash n’est pas premier partout, notamment sur OSWorld 2.0 ou GDP.PDF.

Les mesures indépendantes montrent un gain plus coûteux

Artificial Analysis attribue à Gemini 3.8 Flash, avec un effort de raisonnement élevé, 59 points sur son Intelligence Index, contre 56 pour Gemini 3.7 Flash. Le gain se concentre surtout sur les évaluations agentiques, dont l’usage d’outils, Terminal-Bench et GDPval-AA. Le laboratoire mesure aussi environ 300 tokens de sortie par seconde et un coût de 0,58 dollar par tâche de son indice.

Le tarif par token ne raconte toutefois pas tout. Artificial Analysis observe environ 30 % de tokens de sortie supplémentaires et davantage de tours agentiques, ce qui augmente le coût par tâche d’environ 40 % face à 3.7 Flash. Google reconnaît que le modèle travaille plus longtemps sur les demandes complexes et peut consommer davantage de tokens. Les niveaux d’effort inférieurs, ou 3.7 Flash, restent donc pertinents lorsque l’efficacité prime.

Cyber vise la découverte et la correction de failles

Sur CyberGym, Google attribue à Flash Cyber un pass@1 de 86,2 %, contre 77,5 % pour 3.5 Flash Cyber. Un benchmark interne couvrant vingt langages lui donne 71 %, contre 58,9 % pour 3.7 Flash et 46,6 % pour 3.5 Flash Cyber. Ces graphiques proviennent de Google et le second jeu de tests n’est pas indépendant.

Pour la correction, Google publie un pass@1 de 47,2 % sur CWE-Bench, proche des 47,8 % du meilleur modèle comparé selon son protocole. L’entreprise affirme aussi que l’équipe Chrome a obtenu 2,6 fois plus de correctifs valides et que Wiz a mesuré 7,5 à 9,7 points de rappel supplémentaires. Ces résultats impliquent Google ou des partenaires du lancement et demandent encore une validation externe plus large.

Un accès restreint pour des garde-fous plus permissifs

Google explique que la version générale conserve des protections contre les usages offensifs en cybersécurité, tandis que Flash Cyber emploie des atténuations plus permissives pour donner davantage de latitude aux défenseurs. Cette différence motive l’accès contrôlé. Elle limite aussi la possibilité, pour des chercheurs indépendants, de reproduire rapidement les affirmations les plus spectaculaires.

Le benchmark interne sur vingt langages illustre l’ambition d’un outil de sécurité plus généraliste, mais pas son taux de faux positifs, son comportement sur du code privé ou le coût humain de la validation. Un modèle capable de proposer un correctif ne dispense pas de revue, de tests, d’analyse de régression et d’un déploiement contrôlé.

Prix, sécurité et limites documentées

Jusqu’au 31 décembre 2026, l’API est facturée 0,75 dollar par million de tokens en entrée et 3,75 dollars en sortie. Le 1er janvier 2027, ces montants doivent doubler à 1,50 et 7,50 dollars. La consommation réelle dépend cependant du niveau d’effort, du nombre de tours et de la longueur des sorties, comme le montre l’écart mesuré par Artificial Analysis.

La model card avertit que les hallucinations, lenteurs et délais d’attente restent possibles. La limite de connaissances varie selon les domaines, de janvier 2025 à mars 2026. Google note enfin une légère régression de son évaluation automatisée de sécurité multilingue face à 3.7 Flash. Il faut donc séparer trois faits : Flash est disponible, Cyber est contrôlé, et les meilleurs chiffres demandent encore des validations indépendantes.

Sources