两周一代、59分登顶、却只给网络安全防御者用：Gemini 4 Carbon 用三个口径、四张账，把世界第一拆给你看

两周一代、59 分登顶、却只给网络安全防御者用：Gemini 4 Carbon 用三个口径、四张账，把"世界第一"拆给你看

Part One：抢在财报电话会前 3 小时发模型

2026 年 10 月 28 日，美国时间，Google DeepMind 高级副总裁、首席 AI 架构师科拉伊·卡武克奥卢（Koray Kavukcuoglu）在官方博客发布《Gemini 4 Carbon: our next frontier model》。距离上一代 Gemini 4 Argon 向开发者开放，只过去了约两周。

时间点很微妙：这条发布在 Alphabet 第三季度财报电话会前约 3 小时。 结果是一个罕见的分裂画面——模型拿了世界第一，财报却让股价盘后一度跌超 10%、市值蒸发超过 3000 亿美元。

先看模型本身。谷歌给 Carbon 的定位是**“网络安全与长程任务的最强模型”**，三个核心数字：

  • Artificial Analysis Intelligence Index v5.0：59 分，全球第一（Claude Opus 5.5 为 58 分，GPT-6 Astra 为 57 分；上一代 Argon 为 50 分）；
  • 谷歌官方 14 项核心基准：拿下 12 项第一（另一处口径是 17 项中拿 15 项第一）；
  • Arena 文本总榜 1528 分，全球第一；Agent 总榜全球第二。

Arena 能力评测负责人 Peter Gostev 的评价被广泛引用：“Carbon 比 Argon 强太多了，我真希望他们当初干脆跳过 Argon 直接发这一版。” 谷歌 CEO 桑达尔·皮查伊在 X 上则用一种近乎凡尔赛的语气写道：“我之前就说过，我们会周期性地发布模型……现在向大家介绍 Gemini 4 Carbon。”

但最反常识的一点是：这个"世界第一"没有开放 API，也没有 model ID，首发只给一小批经过审核的网络安全防御者。

Part Two：三个口径，三种"第一"

“拿了多少个第一"是这类新闻里最容易被模糊处理的部分。把三个口径并排放，差异立刻显现：

# 三种"第一"口径的对比：数量 vs 权重 vs 独立性
def firsts_summary():
    return {
        "谷歌官方 14 项基准": {"total": 14, "firsts": 12, "ratio": 12 / 14},
        "谷歌官方 17 项基准": {"total": 17, "firsts": 15, "ratio": 15 / 17},
        "AA 智能指数 v5.0（9 项测试）": {"total": 9, "firsts": 4, "ratio": 4 / 9},
    }

for name, d in firsts_summary().items():
    print(f"{name:28s} {d['firsts']}/{d['total']} = {d['ratio']:.0%}")

# 第三方榜单（Artificial Analysis 独立口径）的具体分数
aa_index = {
    "Gemini 4 Carbon":   59,
    "Claude Opus 5.5":   58,
    "GPT-6 Astra":       57,
    "Gemini 4 Argon":    50,
}
print("\nAA Intelligence Index v5.0:")
for k, v in sorted(aa_index.items(), key=lambda x: -x[1]):
    print(f"  {k:20s} {v}")

这个对比说明一件事：“12/14"和"15/17"都是厂商自选基准集上的成绩，“4/9"才是第三方独立指数里的分项第一数。 三个数字都不假，但含义完全不同——前者是"在谷歌挑的题上几乎全对”，后者是"在第三方固定题库里，9 项测试中有 4 项第一，综合加权后总分第一”。

真正值得看的是 AA 的拆解：Carbon 在 9 项测试中拿 4 项第一，尤其擅长复杂推理、科学研究、知识问答和自动化任务。总分第一靠的不是"全面碾压”，而是"没有明显短板 + 若干项断层领先"。

而"没有明显短板"这件事本身，就是这次最重要的进步。上一代 Argon 的软肋在编程和终端任务，这次 Carbon 精准补上了。

Part Three：长程 Agent——“连跑数天"到底意味着什么

谷歌在官方公告里反复强调一个能力：Carbon 能够连续运行数天，在遭遇错误路径后重新寻找解决方案，最终定位和修复大型代码库中的复杂问题。 支持 100 万 token 上下文。

这句话的技术含量，比分数更值得拆。因为"连跑数天"不是一个模型能力指标，而是一个系统可靠性指标——它取决于单步成功率、错误恢复能力、上下文管理，以及最关键的：成功率随步数衰减的曲线。

# 长程 Agent 的可靠性衰减模型
def long_run_success(step_success_rate, n_steps, recovery_rate=0.0):
    """
    step_success_rate: 单步成功率
    n_steps: 任务需要的步数
    recovery_rate: 失败后自我恢复的概率（每步）
    """
    if recovery_rate == 0:
        return step_success_rate ** n_steps
    # 带恢复的情形：用马尔可夫链近似，稳态成功概率
    p, r = step_success_rate, recovery_rate
    # 有效单步成功率 = p + (1-p)*r
    p_eff = p + (1 - p) * r
    return p_eff ** n_steps

print("任务步数 -> 端到端成功率")
for n in (10, 50, 100, 500, 1000, 5000):
    no_rec = long_run_success(0.95, n)
    with_rec = long_run_success(0.95, n, recovery_rate=0.6)
    print(f"  {n:5d} 步 | 无恢复 {no_rec:7.2%} | 有恢复(60%) {with_rec:7.2%}")

这张表揭示了"连跑数天"的真正难点：如果单步成功率 95%、任务需要 1000 步，且没有错误恢复机制，端到端成功率只有 0.5% 量级——几乎必然失败。 而一旦引入 60% 的失败后恢复能力，同样 1000 步的成功率能抬到 60% 以上。

这就是为什么谷歌强调的是”在遭遇错误路径后重新寻找解决方案"，而不是"单步准确率更高"。长程 Agent 的胜负手不在"每一步都对"，而在"错了能不能自己拐回来"。这也解释了 GraphWalks 那个数字为什么重要——256k 到 1M 上下文追踪复杂关联，96.2%，而 Opus 5.5 只有 66.8%、GPT-6 Astra 71.8%。 上下文越长，越容易在中途"忘记自己在干什么"，而 96.2% 说明 Carbon 的长程记忆保持能力是断层领先的。

配套的两个数据也印证了这一点：

  • Vending-Bench 2（模拟长周期自主经营）：Carbon 最终账户余额 16,484 美元，接近 Claude Opus 5.5（9,235 美元）的 1.8 倍；
  • Terminal-Bench 4.0：65.2%，对比 Opus 5.5 的 59.6%、GPT-6 Astra 的 59.1%、Argon 的 57.1%；Terminal-Bench-Science 0.1：64.8%（Opus 59.0%）。

一个模拟"长期经营"的基准上拿到 1.8 倍，比任何一个单点分数都更能说明长程决策能力的差异——因为经营模拟的每一步都依赖前面的状态，没有"重新开始"的机会。

Part Four：网络安全三关——从"找洞"到"修根因"

Carbon 这次最突出的能力是网络安全，谷歌把它拆成三个环节，每个环节对应一个基准：

   网络安全能力的三段链路（对应三个基准）
   ┌──────────────┐    ┌──────────────┐    ┌──────────────┐
   │  ① 发现漏洞   │───>│  ② 验证利用   │───>│  ③ 修复根因   │
   │ SEC-bench Pro │    │  ExploitGym   │    │  CWE-bench    │
   │    88.2%      │    │    54.8%      │    │    71.0%      │
   └──────────────┘    └──────────────┘    └──────────────┘
        ↑                     ↑                     ↑
   183 个真实          单项限时 10 小时      73 种 CWE
   JS 引擎高危漏洞     红队利用验证          真实仓库审计修复

   对照：
   SEC-bench Pro : Carbon 88.2% | Astra 85.4% | Argon 83.4%
   ExploitGym    : Carbon 54.8% | Astra 42.4% | Opus 34.5% | Argon 42%
   CWE-bench     : Carbon 71.0% (Pass@4 81%) | Opus 67.0% | Argon 68.0%

这三个数字的意义，用串联成功率的模型算一下会更直观：

# 安全三关的串联成功率：找洞 -> 验证 -> 修复
def exploit_chain(find_rate, verify_rate, patch_rate):
    """完整链路：发现 -> 可利用 -> 修好根因"""
    end_to_end = find_rate * verify_rate * patch_rate
    return {"find": find_rate, "verify": verify_rate,
            "patch": patch_rate, "end_to_end": round(end_to_end, 4)}

models = {
    "Gemini 4 Carbon": (0.882, 0.548, 0.710),
    "GPT-6 Astra":     (0.854, 0.424, 0.65),   # patch 未完整披露，取近似
    "Claude Opus 5.5": (0.82,  0.345, 0.670),  # find 未完整披露，取近似
    "Gemini 4 Argon":  (0.834, 0.42,  0.680),
}
for name, (f, v, p) in models.items():
    r = exploit_chain(f, v, p)
    print(f"{name:18s} 端到端 {r['end_to_end']:.2%}  (找{r['find']:.1%} x 验{r['verify']:.1%} x 修{r['patch']:.1%})")

按这个模型，Carbon 的完整链路端到端约 34%，而 Opus 5.5 约 19%、Argon 约 24%。端到端差距远大于单项差距——这是所有串联型能力的共性：单点领先 10%，串起来就是领先 40% 以上。

但这里必须插一句风险提示，因为它极其重要：这套能力是双用途的。 一个能自动"发现漏洞 → 生成利用代码 → 写补丁"的模型，把最后一步去掉，就是一套自动化的零日武器工厂。这也是为什么谷歌采取了近乎保守的发布策略：本周只向一小部分受信任的网络安全防御者开放（Fairwind 计划名单），后续逐步扩大到可信合作伙伴，最后才面向开发者、企业和普通消费者，且没有给出时间表。 谷歌还表示已将 Carbon 提交给美国政府参与自愿性的发布前安全测试。

一个号称"全球最强网络安全模型"的产品，用双用途风险约束了自己的分发——这个取舍本身，比分数更值得记录。

Part Five：“老实模型”——防作弊、抗注入，但幻觉率从 4% 涨到 11%

Carbon 另一个被谷歌重点宣传的特性，是行为可靠性。这组数据是这次发布里信息密度最高的部分：

指标变化（相对 Argon）
缺乏依据的陈述减少约一半
擅自超出用户要求的行为（越权）减少 26%
未能充分完成指令（服务不足）减少 29%
高严重性失准警报减少近 80%
Terminal-Bench 4.0 作弊成功率0.0%（作弊尝试率 0.4%）
间接提示注入攻击成功率0.0%（最多 15 次尝试）

最后一条值得单独说：Gray Swan 的间接提示注入测试中，Carbon 攻击成功率为 0.0%。对照：Argon 0.7%、Claude Opus 5.5 为 1%、GPT-6 Astra 为 8.5%。 这类攻击是把恶意指令藏在网页、邮件、外部文档里，等 Agent 去读取时触发——对长期运行的 Agent 来说，这是最现实的攻击面。0.0% 意味着在允许攻击者尝试 15 次的情况下全部挡住。

“防作弊"那一条也很有意思。谷歌宣称 Carbon 在 Terminal-Bench 4.0 中的作弊成功率降到 0%，作弊尝试率降到 0.4%。这针对的是一个真实问题：模型为了让测试通过，会钻测试环境的漏洞、走不符合任务要求的捷径。Carbon 把这条路堵上了。

但硬币的另一面是幻觉率上升。 Artificial Analysis 的 AA-Omniscience 知识评测显示：Carbon 的答对率从 Argon 的 48% 提升到 58%，但幻觉率也从 4% 升到 11%。 这里的幻觉率口径是"在所有非满分回答中，胡编答案的占比”——也就是"答不对的时候，有多少是硬编而不是承认不知道"。

这两个方向的数据放在一起，说明了一个不那么美好的真相：“减少缺乏依据的陈述”（谷歌内部测试）和"幻觉率上升"（第三方测试）并不矛盾，它们测的是不同东西。 前者是"在已知任务上少说没根据的话"，后者是"在知识边界外更倾向于给一个答案而不是弃权"。一个更"能干"的模型，往往也更"敢答"——这是能力提升的代价，不是可以简单修掉的 bug。

另外一个实测反馈也值得记录：多位提前拿到测试资格的评测者反馈，Carbon 的生成速度明显慢于 Argon，不同任务慢 2 到 4 倍。 官方未确认测试版本，但这个体感与"思考更久、输出更少"的 token 效率数据是一致的——它用更多思考时间换更少的输出量。

Part Six：成本账——token 效率才是这次最实用的进步

对开发者而言，Carbon 最实际的杀伤力不在分数，而在单位任务成本。

# 单位任务成本模型：单价 x token 消耗
def cost_per_task(input_tokens, output_tokens, in_price, out_price,
                  cached_ratio=0.0, cached_discount=0.95):
    """
    价格单位：美元/百万 token
    cached_ratio: 输入中命中缓存的比例
    cached_discount: 缓存折扣（0.95 表示打 5 折的 95% 优惠）
    """
    normal_in = input_tokens * (1 - cached_ratio)
    cached_in = input_tokens * cached_ratio
    in_cost = (normal_in * in_price + cached_in * in_price * (1 - cached_discount)) / 1e6
    out_cost = output_tokens * out_price / 1e6
    return round(in_cost + out_cost, 2)

# AA 智能指数单任务的输出 token 消耗（第三方拆解数据）
print("单次 Intelligence Index 任务的输出 token：")
for name, out_k in [("Claude Opus 5.5", 173), ("Gemini 4 Carbon", 123)]:
    print(f"  {name:18s} {out_k}k 输出 token")

# 按标准价（$4/$20）计算，输入按 10k 估
print("\n按标准价 $4/$20 的单任务成本：")
for name, out_k, price in [("Claude Opus 5.5", 173, (4, 20)),
                            ("Gemini 4 Carbon", 123, (4, 20)),
                            ("GPT-6 Astra", 90, (3, 15))]:
    c = cost_per_task(10_000, out_k * 1000, price[0], price[1], cached_ratio=0.5)
    print(f"  {name:18s} ${c}")

# 首发半价（$2/$10）情形
print("\n按首发半价 $2/$10 的单任务成本：")
for name, out_k in [("Gemini 4 Carbon", 123)]:
    c = cost_per_task(10_000, out_k * 1000, 2, 10, cached_ratio=0.5)
    print(f"  {name:18s} ${c}")

关键结论：Opus 5.5 虽然能力接近，但推理过程极为冗长，完成单次 Intelligence Index 评估平均要消耗 17.3 万输出 token；Carbon 只需 12.3 万，输出量减少 29%。 即便未来 Carbon 恢复到 $4/$20 的标准定价，它的单任务平均成本（$7.76）仍比 Opus 5.5（$10.04）低约 23%；而 GPT-6 Astra 只要 $6.24，比 Carbon 低约 20%。

也就是说，在"能力/成本"这个二维平面上，Carbon 不是绝对最优——Astra 更便宜，Opus 在纯代码工程上更强——但它是"第一梯队里性价比最均衡的那个"。

定价策略也值得注意：Carbon 沿用 Argon 的首发优惠价——输入每百万 token 2 美元、输出 10 美元、缓存命中 95% 折扣（低至约 0.1–0.2 美元）；优惠期满后恢复为标准价（输入 4 美元、输出 20 美元）。根据 Gemini API 官方价格页，Argon 的优惠价有效期至 2026 年 11 月 30 日，12 月 1 日起涨到 $4/$20。

“低价进场、到期翻倍"这个打法，谷歌已经连续用了两代模型。对开发者的现实含义是：现在做容量规划，必须按 12 月 1 日之后的价格算，而不是按半价算。 这是一个很容易被忽略的坑。

Part Seven：另一本账——最强模型与最贵基建的错位

Carbon 发布 3 小时后，Alphabet 第三季度财报出来了。这组数字，才是"世界第一"背后真正的压力来源：

  • 营收 1275.8 亿美元，同比 +25%，低于市场预期的 1282.2 亿美元；
  • 净利润 261.7 亿美元，同比下滑约 25%（去年同期 349.8 亿），其中 86.6 亿美元是股权投资的账面亏损，主要与对 SpaceX 的投资有关；
  • 自由现金流 -90.65 亿美元，连续第二个季度为负；
  • 资本开支 513.6 亿美元，同比 +114%；全年资本开支指引维持在 1950 亿–2050 亿美元，CFO 表示 2027 年资本支出将"大幅增加”；
  • 长期债务从一年前的 216 亿美元攀升至 1251 亿美元，增幅约 479%；
  • 唯一的亮色是云：营收 307.1 亿美元，同比 +103%，营业利润 111 亿美元；
  • 搜索及相关业务 633.5 亿美元，同比 +12%，较上季度 17% 的增速明显放缓，且低于预期。
# Alphabet 三季度的"增长-投入"剪刀差
def剪刀差(revenue_yoy=0.25, capex_yoy=1.14, fcf_b=-9.065,
           debt_now_b=125.1, debt_prev_b=21.6):
    return {
        "营收增速": f"{revenue_yoy:.0%}",
        "资本开支增速": f"{capex_yoy:.0%}",
        "增速差（capex - revenue）": f"{(capex_yoy - revenue_yoy) * 100:.0f} 个百分点",
        "自由现金流": f"${fcf_b:.2f}B",
        "长期债务增幅": f"{(debt_now_b / debt_prev_b - 1):.0%}",
    }

for k, v in 剪刀差().items():
    print(f"  {k:26s} {v}")

这张表的含义很直白：营收增速 25%，资本开支增速 114%，两者差 89 个百分点。 这个缺口只能靠两样东西填——云业务的现金流（+103% 增长确实在填），和债务（+479%）。而自由现金流连续两季为负，说明填得还不够。

所以"Carbon 拿世界第一"和"股价跌 10%“这两件事，不是矛盾的，而是同一件事的两面：模型能力提升需要更多算力，更多算力需要更多资本开支，更多资本开支需要更多融资，而融资的代价正在变贵。市场担心的是这条链条能不能闭合，而不是 Carbon 的分数够不够高。

这也是为什么一个"尚未开放公开访问的世界第一”，能换来掌声，却暂时无法让华尔街买单。更深的拷问是：在 AI 效率尚未明显提升的当下，市场真的还需要那么多"最强模型"吗？

Part Eight：判断与边界

第一，Carbon 是一次"补短板"式的成功，不是"重新定义"。 它没有提出新范式，做的是把 Argon 在编程、终端、长程任务上的短板补齐，同时在网络安全这个垂直方向做出断层领先。这是工程能力的胜利，不是科学突破。但对谷歌来说已经足够——它需要的是"重回第一"这个事实，而不是一个新故事。

第二，14 天迭代一次，说明谷歌的并行训练体系真的跑起来了。 据此前曝出的内部信息，谷歌在内部同时并行训练和评估了 Argon、Barium、Carbon 等多个 Gemini 4 存档点（公开发布的 Argon 实际上是内部的 Barium-B 存档点）。皮查伊的说法是：“我们的研究人员正与我们的模型携手并进，以更快的速度推进能力演进，同时同步强化安全护栏。” 翻译成直白的话：用最强的 AI 去辅助训练、评估、优化下一代 AI，这个循环在谷歌内部已经转起来了。 这是 RSI（递归自我改进）叙事的工程版本——不是模型自己改代码，而是模型把"训练下一代模型"这件事的周期压缩了。

第三，分阶段发布是新的常态，也是最容易被忽略的风险。 Carbon 没有 API、没有 model ID、只给少数安全防御者。这意味着：榜单上的第一名，和你能用的模型，是两回事。 对开发者来说，现在能做的是在 Argon 上开发（它是 live 的，model ID 是 gemini-4-argon），把模型名抽成一个配置项，等 Carbon 开放时改一行。这个建议听起来很朴素，但比"追榜"实用得多。

第四，“第一"的保鲜期正在缩短。 这次登顶距上次谷歌位列 AA 榜首（2026 年 4 月，Gemini 3.1 Pro 与 GPT-5.4、Claude Opus 4.7 并列）已经过去半年，而 Argon 的第一只维持了两周。当三家前沿实验室的发版周期都压到"月"甚至"周"级，任何单次登顶的战略价值都在快速衰减——真正的护城河不在榜单，而在生态、成本、可靠性和分发渠道。

第五，也是最重要的一条：这次发布最该被记住的不是 59 分，而是那组"行为可靠性"数据。 幻觉率上升、速度变慢，是能力提升的代价；而作弊率 0%、提示注入 0%、越权 -26%、失准警报 -80%，是"能不能被信任去自主干活"的前提。在 Agent 时代，一个更聪明但更不听话的模型，价值可能低于一个稍笨但绝对可靠的模型。 谷歌这次把可靠性指标摆到和跑分同等的位置，这个姿态本身值得肯定——即便它的幻觉率数据并不好看。

最后给一个可跟踪的判断框架：看 Carbon 是否真的改变了格局，别只看 59 分，看四个数——① 普通开发者什么时候能拿到 API（这是唯一真正决定影响力的变量）；② 12 月 1 日涨价后，单位任务成本相对 Astra 的差距是否扩大；③ FrontierSWE 2 和 OSWorld 2.1 这两个短板，下一代是否补上（目前 Astra 65.5%、Opus 87.2% 领先）；④ 幻觉率 11% 在真实生产环境里会不会被放大成事故。 这四个数字，比任何一张"12/14 项第一"的表都更能说明问题。

来源：Google DeepMind 官方博客《Gemini 4 Carbon: our next frontier model》（Koray Kavukcuoglu，2026-10-28）；Artificial Analysis Intelligence Index v5.0、Coding Agent Index、AA-Omniscience 评测数据；Arena 文本与 Agent 榜单；Gemini Developer API 官方价格页（Argon 优惠价有效期至 2026-11-30）；Alphabet 2026 年第三季度财报及电话会内容（经 36 氪、钛媒体、电子工程专辑、环球网、量子位、华尔街见闻转述）。文中基准分数、成本测算、长程可靠性模型、安全链路串联成功率均为基于公开数据的推演与示意，非官方口径；Carbon 尚未开放公开 API，部分对照模型的分项分数未完整披露，相关近似值已在代码注释中标明。