Gemini 3.8 Flash Cyber no se compra como un nivel superior de la API pública. Google lo distribuye a organizaciones aprobadas mediante el Fairwind Program, con una revisión previa y normas específicas para controlar quién puede utilizarlo.
Por eso, buscar un supuesto ID público o copiar el precio de Gemini 3.8 Flash conduce a una decisión equivocada. La pregunta inicial es organizativa: ¿proteges servicios o software de relevancia amplia, tienes autorización sobre los objetivos y puedes limitar una capacidad sensible a personal interno identificado?
Una decisión de elegibilidad, no de versión
Google da prioridad a:
- gobiernos y autoridades nacionales de ciberseguridad;
- operadores de infraestructuras críticas de salud, telecomunicaciones, energía y finanzas;
- plataformas tecnológicas esenciales y mantenedores de software con muchos usuarios indirectos;
- laboratorios académicos dedicados a evaluaciones defensivas.
Pertenecer a una categoría no garantiza la aceptación. La página de Fairwind indica que Google realiza diligencia debida sobre el historial de seguridad y la conducta ética del solicitante. Tampoco promete un plazo fijo para resolver la solicitud.
La candidatura es poco sólida si procede de una persona, si el equipo no puede demostrar permiso para analizar el sistema o si busca capacidad ofensiva general sin una misión defensiva. En esos casos, la opción ejecutable es un modelo público. La guía de Gemini 3.8 Flash separa su ID, precio y proceso de migración.
Qué separa a Flash Cyber del modelo público
Según el anuncio de Google, Gemini 3.8 Flash y Cyber comparten inteligencia de base, pero se despliegan en entornos distintos. Flash está pensado para programación, razonamiento y flujos con agentes de uso general. Cyber se especializa en descubrir vulnerabilidades y preparar parches, con mitigaciones de ciberseguridad más permisivas para defensores verificados.
| Punto práctico | Gemini 3.8 Flash | Gemini 3.8 Flash Cyber |
|---|---|---|
| Acceso | Productos y API habituales | Aprobación de Fairwind |
| ID público | gemini-3.8-flash | No se publica un ID general |
| Precio público | Sí | No hay tarifa general de Cyber |
| Trabajo principal | Programación y razonamiento general | Detección y corrección defensiva |
| Usuarios | Usuarios que cumplen las condiciones del producto | Personal autorizado de un socio aprobado |
No conviene escribir gemini-3.8-flash-cyber como si fuera un identificador confirmado. Un contrato aprobado puede proporcionar su propia ruta, pero eso no convierte esa información en una especificación pública. La tarifa introductoria del Flash normal tampoco sirve para presupuestar Cyber.
Fairwind prohíbe que sus socios compartan, redistribuyan o vendan el acceso. Una oferta de «clave Fairwind» de un intermediario contradice las reglas publicadas.
La preparación que debe existir antes del formulario
Una organización creíble no espera a recibir acceso para diseñar sus controles. Puede explicar de antemano cómo aplicará las condiciones públicas del programa.
Delimitar los activos y la autorización
Para cada uso, identifica el sistema protegido, su propietario, la autorización escrita, las técnicas admitidas, el entorno de prueba, la condición de parada, la persona que aprobará una corrección y el canal para comunicar un hallazgo.
Fairwind permite simulación de amenazas autorizada, ingeniería inversa y análisis de malware con fines defensivos o académicos. Las tareas maliciosas, como crear malware, siguen prohibidas. La frase «investigación de seguridad» no sustituye un alcance concreto.
Vincular toda acción a una persona
Google limita el acceso a equipos internos de ciberseguridad, respuesta a incidentes o pruebas de penetración. También exige autenticación por usuario, MFA resistente al phishing, controles de acceso adecuados y seguimiento del acceso y del uso de los empleados.
Antes de solicitarlo, define:
- el proveedor de identidad y el factor resistente al phishing;
- quién aprueba y quién puede revocar un permiso de inmediato;
- cuándo se retira el acceso tras un cambio de puesto o una baja;
- cómo se separan contratistas, filiales y colaboradores;
- cómo se documentan las excepciones.
Una cuenta compartida impide atribuir acciones y no encaja con este modelo de control.
Conservar registros útiles para investigar
Un total de tokens no permite reconstruir una sesión de riesgo. El registro debería relacionar usuario, hora, activo, autorización, herramientas invocadas, propuesta del modelo, decisión humana, resultado del parche y gestión de excepciones. La retención, la protección contra cambios y quién puede consultar esos datos también requieren una decisión previa.
Comprobar la ruta de los datos
La FAQ de Fairwind afirma que Gemini 3.8 Flash Cyber admite retención cero cuando se accede directamente como modelo gestionado en Gemini Enterprise Agent Platform. Es una condición vinculada a esa ruta.
No demuestra que CodeMender, un repositorio conectado, la monitorización, el soporte, los resultados exportados o los registros del cliente tengan la misma política. Solicita un mapa contractual de región de tratamiento, telemetría, copias, acceso de soporte, borrado, subencargados y notificación de incidentes.
Lo que las cifras no pueden decidir por ti
Google informa de un 86,2 % Pass@1 en CyberGym, más del 70 % en una evaluación interna de detección de vulnerabilidades que abarca 20 lenguajes de programación y un 47,2 % en el benchmark externo de parches CWE-Bench.
Las cifras muestran que Google evaluó tanto detección como corrección. Sin embargo, la prueba de 20 lenguajes es interna y no puede reproducirse por completo con los detalles públicos. Ningún benchmark incorpora tu compilación, dependencias, cobertura de pruebas, permisos ni criterio de revisión.
Si se aprueba el acceso, el piloto debe usar código representativo y autorizado. Mide hallazgos reales reproducibles, parches que superan compilación y revisión, coste de falsos positivos, tiempo del analista, coste por corrección aceptada y capacidad de detener o revertir al agente. El modelo no debe saltarse al propietario del código ni la aprobación de despliegue.
Convertir los datos ausentes en preguntas
El formulario oficial de interés muestra primero un campo de correo y avisa de que Google responderá a los socios elegibles. Los campos posteriores no son visibles antes de ese paso; por tanto, no existe base para publicar una lista inventada de documentos obligatorios.
Sí conviene llegar con preguntas precisas:
- producto, endpoint, proyecto y región de entrega;
- ID contractual y condiciones de ciclo de vida;
- precio, compromiso mínimo, cuotas, concurrencia y cobro de fallos;
- si CodeMender es opcional, está incluido o requiere otro contrato;
- alcance exacto de la retención cero y de los registros obligatorios;
- soporte, suspensión, notificación de incidentes y salida del programa;
- integraciones permitidas con repositorios, escáneres, tickets y CI/CD.
Lo que no figure en una página pública debe confirmarse con Google para la arquitectura y el contrato reales, no rellenarse con datos del Flash normal.
Una alternativa legítima si Fairwind no encaja
El anuncio de seguridad de Fairwind indica que cualquier cliente de Google Cloud puede usar CodeMender con modelos públicos y combinarlo con productos AI Threat Defense. La disponibilidad, región y tarifa deben verificarse para cada cuenta. No es acceso equivalente a Cyber, pero sí una vía oficial para construir un proceso controlado de detectar, verificar y corregir.
Quien compare programas restringidos puede consultar también los límites de GPT-5.4-Cyber. Que dos productos incluyan «Cyber» en el nombre no iguala su elegibilidad, controles, prestaciones ni condiciones comerciales.
La regla final es clara: tiene sentido expresar interés si la organización asume una defensa de alta prioridad, controla los objetivos con autorización expresa y ya puede operar identidad individual, permisos, auditoría y respuesta a incidentes. Si no, es mejor fortalecer primero el proceso con herramientas públicas. La revisión de Fairwind no es un obstáculo técnico; forma parte de la seguridad del propio programa.
