Gemini 3.8 Flash Cyberを使うために、AI Studioのモデル一覧を探し続ける必要はありません。Googleはこのモデルを一般公開せず、審査を通過した組織に Fairwind Program 経由で提供しています。
したがって、最初に確認すべきものはAPIの書き方ではなく、組織の役割と管理体制です。社会的に重要なシステムを守る責任があるか。検査対象への明確な権限があるか。強い本人認証と利用記録を、少人数の専門チームに対して実施できるか。この三点が申請判断の出発点になります。
申請を検討できる組織
Googleが優先対象として挙げているのは、次の組織です。
- 政府機関と国のサイバーセキュリティ当局
- 医療、通信、エネルギー、金融などの重要インフラ事業者
- 多数の利用者に影響する基盤技術プラットフォームやソフトウェア保守組織
- 防御目的の評価に取り組む大学・研究機関
いずれかに該当しても、承認が保証されるわけではありません。Fairwindの説明では、Googleは申請組織のセキュリティ上の実績と倫理的な運用履歴を調査します。審査期間の確約も公開されていません。
個人の研究者、一般的なAIアプリ開発チーム、対象システムの所有者から許可を得ていない検査は、この入口と合いません。公開版を使いたい場合は、モデルIDと料金、3.7からの検証方法を扱う Gemini 3.8 Flash導入ガイド が別の出発点です。
一般公開版と同じ名前で考えない
Googleの発表によると、Gemini 3.8 FlashとCyberは基盤となる知能を共有しています。一方で、公開版は汎用のコーディング、推論、エージェント処理向けです。Cyberは脆弱性の発見と自動修正に焦点を合わせ、防御作業のためにサイバー領域の緩和策をより広く設定しています。
この違いは、単なる性能差ではありません。
| 確認項目 | Gemini 3.8 Flash | Gemini 3.8 Flash Cyber |
|---|---|---|
| 入手方法 | 通常のGemini製品・開発者向け経路 | Fairwindの審査 |
| 公開モデルID | gemini-3.8-flash | 一般公開IDは未掲載 |
| 公開料金 | あり | Cyber共通の料金表は未掲載 |
| 主な用途 | 汎用の開発・推論 | 防御目的の脆弱性発見と修正 |
| 利用者 | 製品条件を満たす利用者 | 承認組織の指定された内部チーム |
gemini-3.8-flash-cyber のような文字列を推測して設計書に書くべきではありません。承認後に契約固有のIDや経路が示される可能性はありますが、それを公開仕様と見なすことはできません。公開版の料金をCyberの見積もりに流用することもできません。
申請前に整える運用
Fairwindへの参加は、アクセスを受け取ってから統制を考える順番ではありません。公開条件を社内の具体的な運用へ落とし込めるか、先に確認します。
対象と許可を記録する
提案する利用ごとに、保護対象、資産所有者、検査権限、許可された手法、実行環境、停止条件、発見時の連絡先を明記します。「セキュリティ研究のため」だけでは、コードを解析して修正できるモデルの範囲として不十分です。
Fairwindでは、許可された脅威シミュレーション、リバースエンジニアリング、マルウェア分析を防御または学術研究の目的で実行できます。マルウェアの作成など、悪意のある作業は認められません。
個人単位でアクセスを閉じる
利用できるのは、組織内部のサイバーセキュリティ、インシデント対応、ペネトレーションテストの担当者です。Googleは、ユーザー単位の認証、フィッシング耐性のある多要素認証、必要なアクセス制御、従業員のアクセスと利用の記録を求めています。
申請前に、権限の承認者、緊急停止の担当者、異動・退職時の削除期限、委託先や子会社の扱いを決めます。共有アカウントでは、誰が何をしたかを説明できません。
後から調査できるログを作る
必要なのはtoken総数だけではありません。利用者、時刻、対象資産、許可の根拠、実行したツール、モデルの提案、人による承認、パッチの結果、例外処理を結び付けます。保存期間、改ざん防止、閲覧権限も、試験導入より前に決めるべき項目です。
データ保持の適用範囲を確認する
FairwindのFAQは、Gemini Enterprise Agent Platform上で管理対象モデルとして直接アクセスする場合、Gemini 3.8 Flash Cyberがゼロデータ保持に対応すると説明しています。これは特定の経路についての記述です。
CodeMender、接続したリポジトリ、監視、サポート、エクスポートした検出結果、利用者側のログまで自動的にゼロ保持になるわけではありません。処理地域、テレメトリー、バックアップ、サポート担当者のアクセス、削除、再委託先を実際の構成に合わせて確認します。
公表された評価値の読み方
GoogleはFairwindページで、CyberGymのPass@1が86.2%、20のプログラミング言語を含む社内の脆弱性発見評価が70%超、外部の修正評価CWE-Benchが47.2%だったと報告しています。
これらは発見と修正の両方を評価したことを示します。ただし、20言語の評価は社内テストで、公開情報だけでは完全に再現できません。公開ベンチマークにも、自社のビルド、依存関係、テスト品質、権限ルール、レビュー基準は含まれません。
承認後の試験では、許可済みの代表的なコードを使い、真に再現できる脆弱性、ビルドとテストを通過した修正、誤検知の確認時間、見逃し、採用された修正1件当たりの費用と時間を測ります。モデルが生成したという理由で、コード所有者やリリース承認を飛ばしてはいけません。
申請フォームへ進む前の質問
公式の関心登録フォームで最初に見えるのはメールアドレス欄です。Googleは適格なパートナーに回答すると案内していますが、次の登録項目はメール入力前には表示されません。確認していない提出資料を「公式の必須書類」として用意するのは誤りです。
代わりに、公開されていない条件を質問として整理します。
- 提供製品、エンドポイント、プロジェクト、処理地域
- 契約上のモデルIDとライフサイクル
- 料金、最低利用条件、割当量、同時実行、失敗時の課金
- CodeMenderが任意か、同梱か、別契約か
- ゼロデータ保持の対象となるデータとログ
- サポート、事故通知、一時停止、契約終了時の処理
- リポジトリ、スキャナー、チケット、CI/CDとの接続条件
申請は公式Fairwindページから行います。アクセスの共有、再配布、販売は禁止されているため、第三者が販売する「Fairwindキー」は公開条件と矛盾します。
対象外なら公開経路で防御を組み立てる
Fairwindのセキュリティ発表では、Google Cloudの顧客は公開モデルと CodeMender、AI Threat Defense製品を利用できると説明されています。地域、料金、アカウント条件は個別に確認が必要です。Cyberと同等ではありませんが、発見、検証、修正を管理された流れにする正規の選択肢です。
他社の制限付きモデルと比べる場合は、別の仕組みである GPT-5.4-Cyberのアクセス条件 も参照できます。名称にCyberが付いていても、資格、機能、料金、統制は共通ではありません。
申請すべきなのは、優先度の高い防御責任があり、検査対象への権限が明確で、本人認証・アクセス制御・利用記録・事故対応がすでに運用できる組織です。それ以外は、まず公開モデルで安全な防御工程を作る方が現実的です。Fairwindの審査は、回避すべき障害ではなく、このモデルを提供するための安全設計そのものです。
