Google hat heute Gemini 3.5 Flash Cyber zusammen mit CodeMender für Unternehmen und Behörden vorgestellt. Nach Darstellung des Konzerns soll das Paket Sicherheitslücken in Software schneller aufspüren, prüfen und Entwicklerteams bei der Behebung unterstützen. Vorerst bekommen allerdings nur Behörden und ausgewählte Partner Zugriff.
Schnellere Schwachstellenanalyse
Google beschreibt das Spezialmodell als Werkzeug, das Sicherheitslücken in Software nicht bloß findet, sondern sie auch validiert und Teams bei der Behebung begleitet. Wenn Sie zu einer Behörde oder zu den ausgewählten vertrauenswürdigen Partnern gehören, können Sie ab sofort auf das Paket zugreifen. Allein diese enge Begrenzung verweist auf ein altes Grundproblem solcher Systeme: Sie sind für die Abwehr gedacht, lassen sich im falschen Kontext aber genauso missbrauchen.
Dem Unternehmen zufolge ist Gemini 3.5 Flash Cyber als schlankere und günstigere Alternative zu größeren Cybersecurity-Modellen angelegt. Entscheidend sind hier Tempo und Skalierbarkeit.
Nach Googles Lesart lassen sich damit viele Codepfade in großen Codebasen parallel untersuchen, ohne dass die Kosten klassischer Tiefenanalysen sofort stark anziehen. In CodeMender selbst bildet das System laut Google eine zusammenhängende Kette aus Prüfung und Reparatur ab: Es untersucht Software, markiert mögliche Schwachstellen, schaut diese danach genauer an und hilft unter anderem auch bei der Behebung.
Das geht ein Stück weiter als viele herkömmliche Scanner, die am Ende oft nur eine Liste mit Verdachtsfällen auswerfen. Gerade wenn Sie mit komplexen Anwendungen arbeiten, große Entwicklungsteams koordinieren und Releases dicht getaktet sind, wird die manuelle Prüfung schnell zum Nadelöhr.
Erste interne Ergebnisse
Besonders viel Aufmerksamkeit bekommen die ersten internen Ergebnisse. Das Cloud Vulnerability Research Team von Google berichtet, das System habe in einem Produktivsystem innerhalb von rund zwei Stunden mehrere schwerwiegende Probleme gefunden, darunter Schwachstellen, die Remotecodeausführung ermöglichen, außerdem ein Speicherfehler.
Solche Treffer kosten in der manuellen Analyse oft deutlich mehr Zeit. Ob sich diese Resultate auch im größeren Maßstab halten, ist damit aber noch nicht geklärt. Interne Tests unter kontrollierten Bedingungen sind zunächst nur ein Hinweis, vor allem in sehr unterschiedlichen Softwareumgebungen, die außerdem mit vielen Altlasten kämpfen.
Zugang zunächst eingeschränkt
Dass Google den Zugang erst einmal klein hält, passt gut zu dem, was sich gerade im Markt abzeichnet. Auch Anthropic und OpenAI stellen ihre Cybersecurity-Werkzeuge bislang nur kontrolliert bereit oder koppeln sie an strenge Zugangsmodelle. Der Wettlauf um Systeme für Verteidigung, Forschung und Schwachstellenmanagement nimmt also sichtbar Fahrt auf.
Gleichzeitig zieht die Nachfrage stark an. Laut einer im Original nicht genauer benannten Prognose soll der Markt für solche Sicherheitslösungen 2026 bei mehr als 44 Milliarden liegen. Treiber sind häufigere Angriffe, aufwendigere Kampagnen und immer stärker automatisierte Phishing- sowie Aufklärungsversuche.
Kein vollautomatischer Ersatz
Trotz dieser Fortschritte bleiben Fachleute vorsichtig. Zu den wichtigsten Kritikpunkten gehören Fehlalarme, mangelnde Nachvollziehbarkeit und das Risiko, dass automatisierten Ergebnissen zu viel Vertrauen entgegengebracht wird.
In einer im Original nicht näher benannten, oft zitierten Erhebung sagten 78 Prozent der befragten Fachleute, automatisierte Testwerkzeuge hätten kritische Lücken übersehen. Wirklich ausgereifte Produktivumgebungen hatten demnach nur 27 Prozent der Organisationen.
Für Unternehmen heißt das ziemlich klar: Die Suche nach Sicherheitslücken lässt sich damit deutlich beschleunigen, erfahrene Analysten ersetzt das aber nicht. Vor allem bei kritischen Funden bleibt menschliche Prüfung vorerst Pflicht.
Einen öffentlichen Download gibt es laut Google nicht.
