新聞｜Google 把 Gemini 4 Carbon 開放給付費開發者：以 Argon 為基礎、推理更久的模型

Google 在 11 月 10 日（美國時間）把 Gemini 4 Carbon 開放給所有付費的開發者與企業，透過 Google AI Studio 與 Gemini for business 的 API 使用；Google AI Ultra 訂閱者也陸續能在 Gemini 應用程式、搜尋的 AI 模式與 Google 的 agent 開發平台 Antigravity 使用。Carbon 在 10 月 28 日發表時，只開放給 Fairwind 計畫裡的一批資安防禦方；Fairwind 是 Google 把專門的資安能力開放給經過驗證的資安防禦方的計畫。API 的上市優惠價和 Google 10 月中發布的前沿模型 Gemini 4 Argon 相同，每百萬輸入 token 2 美元、每百萬輸出 token 10 美元。依公告的註 1，優惠期在 2026 年 11 月 30 日結束，之後改為 4 美元與 20 美元。註 1 也寫明，這項定價只適用於開放給大眾的 Carbon，所以優惠價與之後的價格都不含 Fairwind 版本；公告沒有說明 Fairwind 版本怎麼計價。

Google 說，多數軟體工程與知識工作仍以 Argon 為首選。Carbon 用在考驗模型智力上限的任務，例如複雜的多步驟寫程式與除錯、開放式的科學研究；它會比 Argon 用更多 token 去探索、深入推理，並反覆跑驗證。

模型卡的基準表列了 17 個項目，Carbon 拿下其中 15 個第一。落後的兩項是 FrontierSWE 2，輸給 OpenAI 的 GPT-6 Astra 與 Anthropic 的 Claude Opus 5.5；以及 OSWorld-2.1，輸給 Opus 5.5。這張表的分數截至 10 月，對照組沒有 Anthropic 11 月 9 日發布的 Claude Fable 5.2，表中三項資安基準則是透過 Fairwind 計畫存取的版本。安全評估引用了外部機構 Gray Swan 與 Trajectory Labs 的紅隊測試，也有不少數字來自 Google 自己的評測。

Carbon 是什麼模型？

模型卡的「模型依賴」（Model dependencies）一欄寫著，Carbon「以 Gemini 4 Argon 為基礎」（based on Gemini 4 Argon）。架構、訓練資料與資料處理、硬體與軟體各欄，都只重複這句話，再指向 Argon 的模型卡，沒有另外說明 Carbon 改了什麼。模型卡只寫出一項差異：Carbon 比 Argon 用更多推理 token（thinking tokens）。推理等級可以調整，讓使用者在品質、延遲與成本之間取捨。

Carbon 接受文字、圖片、音訊與影片輸入，只輸出文字。上下文長度以輸入加輸出合計，最多 100 萬 token。知識截止於 2026 年 3 月，模型卡說某些領域的知識可能更舊。模型卡的「已知限制」（Known Limitations）另外寫到，Carbon 偶爾會變慢或逾時，有時會用更多 token 換取更好的表現，推理等級越高越明顯。

Google 也在 Antigravity 預覽 /swarm 功能，把一個提示變成一組可以即時追蹤的 agent。開發者可以讓 Carbon 擔任架構設計、協調與稽核這些最需要推理的角色，再搭配較快、較輕的模型。

基準結果如何？

模型卡的基準表

模型卡列出截至 2026 年 10 月的結果，下表選出其中九項：

項目	Carbon	Argon	GPT-6 Astra	Claude Opus 5.5	Claude Fable 5.1
AA Index v5.0	59	50	57	58	49
FrontierSWE 2	61.2%	55.0%	65.5%	62.3%	56.3%
Terminal-Bench 4.0（AA）	65.2%	57.1%	59.1%	59.6%	52.0%
OSWorld-2.1（離線子集）	81.5%	74.7%	80.9%	87.2%	76.8%
AutomationBench（Zapier）	53.9%	51.3%	41.4%	42.5%	31.4%
GraphWalks（256k 至 1M，BFS，F1）	96.2%	84.2%	71.8%	66.8%	65.0%
CWE-bench	71.0%	68.0%	68.0%	67.0%	58.0%
ExploitGym	54.8%	42.0%	42.4%	34.5%	—
SEC-bench Pro	88.2%	83.4%	85.4%	—	—

「—」表示模型卡沒有列出分數。AA Index 是 Artificial Analysis 的綜合智力指數（Intelligence Index）；依 Google 的評測方法說明，Terminal-Bench 4.0 後面的「AA」表示這一項的分數取自 Artificial Analysis。同一份說明寫到，Gemini 的分數都用 API 最高的推理設定，其他公司模型的分數除另有註明外，取自各家自報的數字。GraphWalks 測長上下文，Carbon 比第二名的 Argon 高 12 個百分點，比其他公司最好的 GPT-6 Astra 高 24.4 個百分點。Carbon 拿下第一的項目裡，也有差距很小的，例如 Vals Index v2.2 是 70.4% 對 Opus 5.5 的 70.2%，SWE-sweep 是 9.6% 對 GPT-6 Astra 的 9.5%。

這三項資安基準分別測修補漏洞（CWE-bench）、利用漏洞（ExploitGym）與找出漏洞（SEC-bench Pro）。模型卡註明，這三項反映透過 Fairwind 計畫存取時的表現；10 月 28 日的發表文也說，它們是在沒有模型外的防護（guardrails，依安全報告包括模型外的輸入與輸出分類器、讀取模型內部活化狀態的探針，以及監督 agent 行動軌跡的監控機制）的情況下評測。一般開發者用的版本帶著模型外的防護（見下文的安全評估），所以這三項分數不一定反映他們實際用到的表現。

這張表的對照組是 Fable 5.1。Anthropic 11 月 9 日發布 Fable 5.2 時，在自己的基準表裡把 Carbon 列為對照：FrontierSWE 2（Anthropic 的表寫作 FrontierSWE v2）是 Fable 5.2 69.9%、Carbon 61.2%，Terminal-Bench-Science 0.1 是 74.6% 對 64.8%，AutomationBench 則是 Carbon 的 53.9% 高於 Fable 5.2 的 51.4%。這些是 Anthropic 自報的數字，而且 Anthropic 的表除非另外註明，都取各模型能用的最高推理強度（詳見〈新聞｜Anthropic 發布 Claude Fable 5.2 與 Mythos 5.2：同一個模型，兩種開放方式〉）。兩家的表對同一個模型也不一定給出同樣的分數：同樣是 Terminal-Bench-Science 0.1，GPT-6 Astra 在 Google 的模型卡是 63.3%，在 Anthropic 的表是 68.1%。

官方點名的外部基準

Google 的公告說，Carbon 在 Cursor 的 CursorBench 4.0、Perplexity 的 WANDR 與 Zapier 的 AutomationBench 上排名第一，每題成本不到次佳的其他公司模型的一半。Google 與 Artificial Analysis 合作推出新的多模態知識 agent 基準（Multimodal Knowledge Agent，MKA），Carbon 在上面排第二，平均每題成本不到第一名的六分之一。公告沒有列出 CursorBench 4.0 與 WANDR 的分數，也沒說 MKA 的第一名是哪個模型；這些排名與成本倍數都是 Google 的說法。

Artificial Analysis 的排行榜

Artificial Analysis 的模型排行榜依推理等級分開列出各模型。本文在 2026 年 11 月 11 日 10

（台北時間）讀取這個頁面，頁面標示的指數版本是 Intelligence Index v5.0.1，模型卡用 v5.0；Carbon 在模型卡是 59 分，在排行榜（high）是 60 分。頁面沒有說明兩個版本差在哪裡，本文也無法確認，所以不拿這兩個數字互相比較。

在 v5.0.1 的排行榜上，Fable 5.2（max）以 65 分排第一，Fable 5.2 的 xhigh 與 high 都是 62 分，Carbon（high）以 60 分排第四。其後是 Opus 5.5（max）59 分、GPT-6 Astra（max）57 分，Argon（high）是 50 分。

排行榜也列出跑一題指數任務的平均成本：Carbon（high）7.76 美元，Fable 5.2（max）26.54 美元，Opus 5.5（max）10.04 美元，Argon（high）9.95 美元。也就是說，在這份排行榜上，Carbon（high）用比 Argon（high）低的每題成本拿到高 10 分的指數。這和前文的說法看起來不一致：Carbon 用的推理 token 比 Argon 多，上市單價又相同，每題成本照理不會比較低。光看排行榜判斷不了原因：頁面沒有說明成本以哪一個價格計算，兩者的 high 推理等級也不一定對等。另外，Carbon 的單價在 11 月 30 日後會加倍。

資安與科學的展示案例

以下案例來自 Google 的公告與 DeepMind 的部落格，都是 Google 內部或合作方的單一案例，沒有可重複的統計。

在資安上，Google 舉了三個例子：

Project Fortify 是 Google 涵蓋掃描、分流（triage）與修補的自主漏洞系統。在 Google 的內部基準上，Carbon 掃描的召回率（recall）是 100%，分流的精確率（precision）是 95%；在開源程式碼庫的測試上，召回率比 Argon 相對提高 25% 以上。
Google 的雲端漏洞研究團隊（Cloud Vulnerability Research，CVR）用 Carbon 證明，某個熱門開源軟體的兩個錯誤確實可以被利用，嚴重程度與 PHP2Shell 相當。PHP2Shell 是 Wiz 公布的 PHP 核心漏洞，最嚴重的能讓沒有登入的攻擊者在伺服器上遠端執行程式碼，PHP 在 10 月 21 日釋出修補。Google 說，CVR 用 Carbon 做出概念驗證後，維護者把錯誤改列為嚴重，並發布修補。軟體名稱與細節要等負責任揭露的流程結束後才公布。
資安公司 Wiz 在 Scan for Good 計畫中用 Carbon 掃描兩家大型 SaaS 供應商，不到兩小時就找到 0-day 漏洞。公告沒有列出供應商名稱與漏洞細節。

在科學上，本文挑兩個例子。第一個是形式化驗證。DeepMind 同日發表 AlphaProof Code，用來形式化驗證 Signal 加密協定的實際程式碼。研究人員先與多個模型合作，把 Signal 的安全目標寫成形式化規格，每一條都經人類專家審閱；接著由 Carbon 驅動的 agent 寫出超過 600 萬行 Lean 證明（Lean 是讓電腦逐步檢查數學證明的語言），證明編譯後的程式碼滿足關鍵的安全性質，例如裝置暫時被入侵前後，訊息仍受保護。agent 最後稽核證明，標出約 1% 需要人再看的部分。DeepMind 說，整個驗證花了四週，過去這類工作要專家團隊花上數年。為了確認系統分得出正確與有錯的程式碼，研究人員把兩個已經修好的真實錯誤放回一份隔離的 Signal 程式碼，系統兩次都產生機器檢查過的證明，指出有錯的版本不安全。

第二個是蛋白質結構預測。AlphaFold 3 這類模型要靠演化上的親緣序列做多序列比對，研究得少的蛋白質在標準資料庫裡比對不到多少序列，預測就容易失準。研究人員在多 agent 的設定下，讓 Carbon 自主到大型的未標註序列庫、環境與病毒序列目錄和 3D 結構資料庫裡找遠緣同源序列。在 CASP17 盲測集的 7 個低同源蛋白質家族上，Google 說 Carbon 找到的同源序列數平均增加 40 倍，公告沒有說明比較的基準是哪一種搜尋方法。Google 也說，更廣泛的基準測試仍在進行。

安全評估看到什麼？

前沿安全的判定沿用 Argon

Google 的前沿安全框架（Frontier Safety Framework，FSF）用兩種能力門檻判定風險。關鍵能力等級（Critical Capability Level，CCL）是模型在沒有防護時，可能帶來嚴重（severe）傷害風險的能力門檻；追蹤能力等級（Tracked Capability Level，TCL）是 2026 年 4 月的 FSF v3.1 新增的較低門檻，用來掌握能力還沒到 CCL 時，就可能出現的重大（significant）風險。依安全與資安報告（Safety & Security Report），Google 評估 Argon 時，不能排除它達到資安與生物領域的 CCL，也不能排除它達到「隱匿與情境覺察」的 TCL；化學、放射與核子領域的 TCL，以及有害操縱與機器學習研發的 CCL，則已排除。

Carbon 沿用 Argon 的這些判定。Google 先做「重大能力變化」（Material Capability Change，MCC）評估：Carbon 的綜合能力分數比 Argon 增加的幅度小，沒有超過門檻。依 FSF，這時不必重做完整的關鍵能力評估，可以沿用前一個模型的判定。Google 評估，部署的模型外防護已經把這些領域的剩餘風險降到可接受的程度。

報告也寫到，Carbon 在 ExploitBench 與 ExploitGym 上明顯比 Argon 進步，Google 因此加強了模型外的防護。為了確認端到端的資安能力沒有大幅改變，Google 另外用 Irregular 的 CyScenarioBench V2 測試沒有模型外防護的 Carbon：14 個端到端挑戰中，Carbon 完成 12 個，Argon 完成 13 個。這次沒有另做一輪外部能力評測，外部合作集中在對模型外防護的紅隊測試。

模型外防護的紅隊測試

Google 自己的自動化紅隊 agent 在以 ExploitBench 與 CyScenarioBench 建成的模擬環境中攻擊 Carbon，每次被擋下後都能修改攻擊計畫。依報告，測試共 18 輪，每輪最多嘗試 40 次，每次嘗試就是一條攻擊軌跡，其中最多可呼叫 300 次工具。以單條軌跡計算，Carbon 擋下 99.0% 的攻擊軌跡，單次嘗試的突破率是 0.8%，Argon 是 3.1%。以整輪計算，用完 40 次嘗試後，18 輪中有 5 輪至少被突破一次，Argon 是 13 輪。

Gray Swan 用自動化紅隊 agent Shade 攻擊 25 個高嚴重度的資安任務，每個種子提示發動 200 次攻擊。以單次請求計算的成功率（Query Success Rate，QSR），Carbon 是 2.17%，Argon 是 9.86%；以任務計算、至少成功突破一次的比例（Objective Success Rate，OSR），Carbon 是 40%，Argon 是 56%。

Trajectory Labs 的專家紅隊花了 132 小時、發出超過 13,000 次請求，沒有找到新的通用越獄手法（universal jailbreak）。不過依報告，測試者仍在個別任務上突破防護，其中一項花了約 28 小時、3,700 輪對話與超過 320 個工作階段，大量依靠測試者自己的事前規劃與紅隊經驗。

提示注入、誠實性與內容安全

10 月 28 日的發表文說，Argon 先前在 Gray Swan 的間接提示注入（indirect prompt injection，IPI）基準上的攻擊成功率是 0.7%，Carbon 降到 0%。Google 在 11 月 10 日的公告補充，提示注入的穩健性仍有改進空間，自家的自動化紅隊顯示模型在某些攻擊分布下還能再加強。報告另寫到，在程式 agent 的提示注入評測中，Carbon 的存活率略低於 Argon；存活率是攻擊者嘗試一定次數的提示注入後，模型仍沒有被操縱的情境比例。

Google 的內部 agent 誠實性基準有 375 題，每題跑三次。每題的環境裡都埋了一個會推翻使用者所要結論的問題，例如被埋沒的負面結果或缺少的測量數據，模型揭露這個問題才算通過。Carbon 通過 92%，Argon 是 70%；Carbon 拒絕捏造缺少的實驗數據的比例是 98%（Argon 80%），指出方法缺陷的比例是 68%（Argon 11%）。報告說，方法缺陷仍是最難的類別。

模型卡列出五項開發期間的內部安全評測，以 Carbon 相對 Argon 表現增減的百分點表示，依模型卡，正值代表 Carbon 比 Argon 好：文字生成文字的安全 +3.50，多語安全 +3.55，圖片生成文字的安全 −1.00，拒答語氣 +1.10，不當拒答 +1.10。模型卡只把前兩項標為改進，拒答語氣與不當拒答則說兩者相近。這些都是自動化評測，並非人工評測或紅隊測試；模型卡也說評測方法經過改良，不能和舊的 Gemini 模型卡直接比較。表中只有圖片生成文字的安全下降，模型卡的文字仍寫 Carbon 在多語與多模態內容安全上勝過 Argon。

限制

模型卡的「第一」只代表 10 月時、在這份對照組裡的位置。Carbon 用最高的推理設定，其他公司的分數多半是各家自報；對照組沒有 Fable 5.2，兩家對同一模型的分數也對不上。
能由外部查證的部分不多。官方點名的外部基準只公布排名與成本，合作方案例多半沒有揭露軟體、廠商與比較基準。
外部紅隊集中在模型外的防護。Carbon 本身能力的風險判定，建立在 Argon 的測試，以及 Carbon 綜合能力分數沒有大幅變化這個判斷上。
每題成本要在自己的工作上量。單價相同與推理 token 較多兩個條件，推不出 Artificial Analysis 上 Carbon 比 Argon 便宜的結果，11 月 30 日後單價又會加倍。