Dieselbe Woche, in der ein KI-Modell bewiesen hat, dass es funktionierende Exploits über fünf Betriebssysteme hinweg verketten kann, kam ein weiteres KI-Modell und behauptet, Schwachstellen besser zu finden, auszunutzen und zu patchen als alles davor. Das ist kein Zufall. Das ist der neue Baseline-Stand.
Am Mittwoch hat Google DeepMind Gemini 4 Carbon vorgestellt. Koray Kavukcuoglu, SVP bei Google DeepMind, hat die Zahlen ohne Umschweife genannt: Carbon kommt auf 88,2 % bei SEC-bench Pro für das Finden von Schwachstellen, auf 54,8 % bei ExploitGym für die Ausnutzung und auf 71,0 % bei CWE-bench für das Patchen. Außerdem führt es den Artificial Analysis Intelligence Index mit 59 an und schiebt sich damit an Anthropics Claude Opus 5.5 mit 58 und OpenAIs GPT-6 Astra mit 57 vorbei. Und laut Google erzeugt es doppelt so wahrscheinlich sicheren Code wie das Modell, das es ersetzt: Gemini 4 Argon.
Lass das kurz sacken. Ein Modell. Dasselbe Modell. Es findet den Bug, bewaffnet den Bug und fixt den Bug. Drei Benchmark-Kategorien, die bisher drei völlig unterschiedliche Jobtitel beschrieben haben.
Was die drei Zahlen wirklich bedeuten
Die meisten Security-Benchmark-Stories verschwimmen zu einem einzigen Brei. Diese drei nicht, denn jede steht für eine andere Phase im Incident-Lifecycle.
SEC-bench Pro misst das Aufspüren von Schwachstellen in echter Software. Das ist dein Scanner, dein Pentester, dein Threat-Research-Team.
ExploitGym misst die Ausnutzung. Das ist der Teil, der bisher Geduld, Kreativität und einen Spezialisten verlangt hat, der Speicherlayout, Mitigations und die Eigenheiten des Ziels versteht. 54,8 % ist kein perfekter Score, aber es ist ein Score.
CWE-bench misst das Patchen. Das ist dein Remediation-Backlog, das Ding, von dem jedes Engineering-Team schwört, dass es nächsten Sprint endlich drankommt.
Wenn ein einziges Modell in allen drei Bereichen stark ist, lautet die praktische Konsequenz nicht "KI kann jetzt Security". Die Konsequenz ist, dass der Abstand zwischen Disclosure und Weaponization zusammenbricht, während der Abstand zwischen Disclosure und Patch keinen Grund hat, das ebenfalls zu tun. Angreifer brauchen genau eine Fähigkeit: das Modell auf ein Ziel richten. Verteidiger brauchen die unglamouröse Hälfte: entscheiden, was gefixt wird, beweisen, dass es gefixt ist, und die Belege behalten.
Das Architektur-Detail, das mehr wert ist als die Benchmarks
Unter den Headline-Scores versteckt sich eine Zeile, die für alle wichtiger ist, die Agents in Produktion laufen lassen: Carbon reagiert Berichten zufolge auf mehrdeutige Aufgaben unter hohem Druck, indem es nach menschlichem Input fragt statt zu raten, und es hat jedem getesteten Versuch indirekter Prompt-Injection widerstanden.
Lies das zweimal. Prompt-Injection-Resistenz ist die Eigenschaft, die sich jedes Unternehmen am häufigsten wünscht, das einen Agent irgendwo in der Nähe nicht vertrauenswürdiger Inhalte betreibt, egal ob Webseite, Support-Ticket, E-Mail-Thread oder ein PDF, das ein Kunde hochgeladen hat. Wenn ein Frontier-Modell unter getesteten Injection-Versuchen standhält, ist das für deine Architektur eine deutlich größere Sache als ein Benchmark-Punkt.
Der Haken ist der Zugang. Carbons Rollout folgt dem von Argon: zuerst eine begrenzte Gruppe von Cyber-Verteidigern, dann Ausweitung über Googles Fairwind Program. Google hat außerdem bestätigt, dass es am freiwilligen Pre-Release-Testing-Prozess der US-Regierung teilnimmt. GPT-6.1 Terra, in derselben Woche von OpenAI veröffentlicht, erreicht den Critical-Schwellenwert unter seinem Preparedness Framework. Heißt: Die fähigsten Security-Modelle sind derzeit auf einen kleinen Kreis beschränkt, und alle anderen erben die Folgen.
Das Schwachstellenfenster ist jetzt ein Scheduling-Problem
Hier ist der Shift, der deine Planung fürs nächste Quartal verändern sollte. Zwanzig Jahre lang haben Security-Teams die Mean Time to Patch gegen einen angenommenen trödelnden Angreifer optimiert. Ein Researcher meldet, ein Vendor schreibt einen Fix, ein Angreifer kommt irgendwann dazu. Dieser Spielraum war die gesamte Prämisse der Vulnerability-Management-Industrie.
Diese Prämisse ist weg. Im selben Zyklus hat Anthropics Frontier Red Team Exploit-Chains für Chrome, Safari, Android, Windows und einen Zero-Click-Pfad im Linux-Kernel veröffentlicht, und ein Produktionsmodell, das genau auf diesen Workflow optimiert ist, hat sich für Verteidiger geöffnet. Das Fenster zwischen öffentlichem Fix und funktionierendem Exploit wird an den schlimmsten Tagen in Stunden gemessen. Wenn deine Patch-SLA noch in Tagen und Severity-Scores ausgedrückt ist, drehst du an einem Regler für eine Maschine, die längst weitergezogen ist.
Praktisch übersetzt: Priorisierung muss von Exploitability und Reachability getrieben werden, nicht von CVSS allein. Eine 9.8 auf einem Service, den niemand erreicht, verliert gegen eine 6.4 auf dem Ding, das jeder Kunde trifft.
Was aratech-Kunden dieses Quartal tun sollten
Fünf Schritte, nach Hebelwirkung sortiert:
-
Re-baseline deine Patch-SLA nach Exploitability, nicht nach Severity. Kombiniere jeden Fund mit einem Reachability-Check. Downgrade, was nicht exponiert ist, und eskaliere, was auf dem Perimeter-Pfad liegt.
-
Inventarisiere alles, was KI geschrieben hat. Wenn Modelle doppelt so wahrscheinlich sicheren Code erzeugen, verbessert sich die Qualitätskurve, aber die Kurve des Code-Volumens wird schlimmer. Du kannst nicht absichern, was du nie gezählt hast.
-
Behandle Prompt Injection als testbare Kontrolle, nicht als Design-Fußnote. Bau eine adversarial Suite für jeden Agent, der nicht vertrauenswürdige Inhalte berührt, und lass sie bei jedem Modell-Upgrade laufen.
-
Benchmarke deine eigenen Defenses gegen ein Frontier-Modell. Lass deinen Scanner, deine SAST und dein Dependency-Tooling gegen ein Ziel laufen, bei dem du jede Antwort schon kennst. Wenn ein Modell mehr findet als dein Stack, weißt du, was du als Nächstes kaufst.
-
Behalte den Evidence-Trail. Regulatoren und Versicherer fragen nicht mehr, ob du eine Policy hattest. Sie fragen, was du getan hast, wann und auf welcher Grundlage. Automatisierte Remediation ist nur verteidigbar, wenn sie auch automatisch geloggt wird.
Der unangenehme Teil
Jede dieser Zahlen ist selbstberichtet. Google hat sein eigenes Modell auf Benchmarks getestet, die es selbst ausgewählt hat. Gemini 4 Carbon ist vielleicht wirklich das stärkste Security-Modell am Markt, oder es ist das stärkste bei genau den Tests, die ein Vendor veröffentlichen wollte. Beides kann gleichzeitig wahr sein.
Das ist kein Grund, es zu ignorieren. Es ist ein Grund, deine eigene Realität zu instrumentieren. Die Organisationen, die 2027 unbeschadet überstehen, sind nicht die, die früh den siegreichen Modell-Vendor wählen. Es sind die, die an einem normalen Dienstag ohne Vorwarnung exakt beantworten können, welche ihrer Systeme gestern exploitbar waren und welche heute gefixt sind.
Modellgeschwindigkeit hat verändert, was möglich ist. Governance-Geschwindigkeit liegt weiter bei dir.
Bei aratech bauen wir die langweilige Hälfte: den Kontext, das Inventar, den Audit-Trail, die Loop, die weiterläuft, nachdem der Quellcode kompiliert ist. Denn in einer Welt, in der ein Modell findet, exploitet und fixt, ist der einzige dauerhafte Vorteil, der bleibt, genau zu wissen, wo du stehst.