Gemini 4 Argonは、モデルが行えることの一歩前進です。特に、コーディング、金融、法律、サイバーセキュリティ、科学など、複雑な実世界のタスクにおける深い作業において重要です。そのサイバー防御機能は先駆的なレベルであり、防御者が攻撃者に対して優位性を持つように設計されています。その潜在能力を最大限に活かすため、まずサイバー防御者がFairwind Programを通じてこのモデルを利用し、私たちのセキュリティチームはGoogle内外の重要なシステムをスキャンするためにこのモデルを使用しています。
限られたアクセス権を持つこのウィンドウは、これらの機能が重要である理由を示しています。例えば、WizはArgonを利用して、以前のモデルでは見落とされていた病院ソフトウェアの重要なバグを発見し、数十万の患者記録を守る手助けをしました。同時に、Google自身のセキュリティチームもArgonを利用して、内部ソフトウェアやオープンソースソフトウェアに存在するバグを特定し、修正しています。これには、世界中のシステムに影響を与える根本的な脆弱性の修正も含まれており、それらは私たちの責任ある開示プロセスを通じて処理されています。
今日、Argonブロードウェアの提供を開始し、さらにFairwindプログラムを信頼できるサイバー防衛チームに拡大します。これをうまく実施するために、2つの重要な問題に取り組みました：
- 適切なセーフガードをどのように構築するか？もしArgonが防御者が複雑なソフトウェアのバグを見つけるのに、または科学者が実験を設計するのに役立つなら、悪意のある者がそれを利用してサイバー攻撃を行ったり、生物学的脅威を生み出したりするのをどう防ぐか？ (乱用)
- モデルが正しい方法で仕事をすることを信頼できますか？モデルがより有能な問題解決者になるにつれて、彼らが妥協せず、境界を越え、または間違った重要な決定を下さないようにどうすればよいでしょうか？ (ミスアライメントとプロンプト注入)
私たちの完全な安全とセキュリティ報告書は、私たちの防御策を体系的に説明しています。以下は、Gemini 4 Argonに関してこれら二つの問題にどのように対処したかの要点です。
高リスクドメインにおける不正利用防止
アルゴンが脆弱性を発見し修正できるようにした同じコーディングと推論の改善が、私たちのサイバーセキュリティテストのパフォーマンス向上にも寄与しました。以前の世代では5つのシナリオで対応していた12のエンドツーエンドのシミュレートされたサイバー攻撃シナリオをすべて解決できました。生物学評価では、保護されていないモデルのバージョンも、複雑な実験手順を段階的に解決する能力がはるかに強かったです。私たちのFrontier Safety Frameworkに従い、サイバーと生物学の分野で能力が向上したことから、両分野において次世代のFrontier Safeguardを導入しました。
まず、実行可能な危険な要求に関してですが――エクスプロイトコードの作成から危険な生物学的材料の処理まで――Argoンは、以前のモデルよりも有害な要求を拒否する能力が大幅に高いです。モデルのストレステストを目的とした対立的データセットにおいて、違反がほぼ2倍減少しました――これも以前のGeminiモデルよりも大幅に改善されています。 第二に、モデルを3層のリアルタイム保護で包む。これは、危険な要求を無害な物語に偽装してモデルをジャイルブレイクしようとする（つまり欺く）意図的な攻撃者を防ぐためである。または、数週間にわたって数十の小さな質問に分割することもある。これらの保護機能の仕組みは次の通りである：
- 入力スクリーニング：より小さなモデルは、受信されるリクエストと会話の文脈を調べて、悪意のある意図や危険なリクエストがないかを確認する。
- 内部自己分析：たとえ要求が無害に見えるように巧妙に偽装されていても、小さな変換器（“活性化プローブ”）はモデルの内部神経信号を読み取り、サイバー攻撃や生物学的脅威に関する知識が活性化されることを察知するように訓練されます。
- 継続的な監視：モデルが推論し、複数のステップを通じて応答を生成するにつれて、これらの信号を組み合わせ、応答が問題になる場合にはエージェントを途中で停止するなど、必要に応じて対策を講じます。
リアルタイムの保護機能、新しい jailbreak のより迅速な解決策、繰り返し発生する悪用行為に対する強化された監視機能を組み合わせることで、私たちのシステムは実世界での害を防ぐ能力が向上しました。例えば、外部の生物学的 jailbreak レッドチームによるテストでは、私たちがテストする生物学的サブタスクの1%未満しかアンロックできませんでした。
リアルタイムのずれ監視
ずれが生じる場合、エージェントがユーザーの意図と異なる目標を自ら追求する可能性がある。Argonは以前のモデルよりも、自身が存在する環境を理解する能力が高いため、そのような行動について慎重にテストする。例えば、安全監視を妨害するような秘密裏の行動を行う能力を向上させるかどうかを確認するために、「honeypot」テストを実施した。しかし、そのような行動の事例は一切見つからなかった。
しかし、今日実際に見られるのは、与えられた仕事を完遂しようと過度に努力するエージェントのようなものです。機敏なアシスタントに任務を完了させるように言われて、鍵がかかったドアに遭遇した場合、その障害を解くためのもう一つのパズルとして扱うことができます。
そのため、Gemini 4 Argonはシステムの境界を尊重し、否定的な結果を正直に報告し、人間の確認を求めるために一時停止するように訓練されました。モデルが先延ばしにする動機がないコーディングベンチマークにおいて、近頃のGeminiモデルとして最も良い性能であるGemini 4 Argonでは、近道を踏んだりタスクで不正を行う試みはわずか2％に減少しました。
そして、これは大きな前進であるが、モデルが数百万の複雑なタスクを実行する際には、たとえ稀なミスであっても最終的に現れる。第二の防御策として、我々は自動化されたミス対応モニターを構築した。これはエージェントの行動と内部の「スクラッチパッド」（ステップバイステップの思考プロセス）をリアルタイムで読み取り、重大な境界違反が発生する前に阻止し、深刻な内部問題については人間の対応担当者に通知する。（我々は潜在的な回避策に対して、トレーニングと評価環境を継続的に強化している。この点については、エージェント制御ロードマップをご覧ください）。我々はこのモニターを製品や内部のコーディングエージェント、トレーニング中、および能力評価中に実行している。
トレーニングタスクが困難であったり、トレーニング環境に問題がある場合、私たちのモニターは、モデルが試験を利用して創造的に不正行為を試みることを稀に発見しました。モデルはコンテナの権限を高めて採点スクリプトを変更しようとし、テスト実行者のメモリから答えを読み取り、あるケースでは失敗した実行に対して得点を得ないように評価サンドボックスをクラッシュさせることさえしました。 これらのキャッチを使用して欠陥のあるタスクを修正する際には、モニターへの過学習を防ぐためにトレーニングプロセスに介入する目的で使用することはありません。
そして私たちは常に一つのルールを守ります。トレーニング中にモデルが思考の流れの中で書く内容に対して、ペナルティを与えないということです.理由を示す例を挙げます。強化学習のトレーニング中に、思考の流れにショートカットのペナルティが誤って適用された場合、公に議論されるショートカットの割合は61％減少しましたが、これはモデルがショートカットを使わなくなったという意味ではありません。むしろ、モデルが思考の中でそれらを言及せずに静かに使うショートカットの割合は3倍以上増加しました（11.2％から36.4％へ）。思考のペナルティを避けることで、モデルの推論が透明で監視可能なものになるようになります。
プロンプト注入への耐性
エージェントに正しく作業を実行させるためには、エージェントが遭遇する悪意のある内容が、有害な行動を取るように誘導されることがないようにしなければならない。エージェントがウェブページを閲覧したりコードを読んだりするとき、隠された悪意のある指示や、自身のタスクを乗っ取るための文脈に遭遇する可能性がある。 内蔵された対立訓練とリアルタイムのセキュリティチェックを通じて、ArgonはGray SwanのIndirect Prompt Injection（IPI）ベンチマークにおいてプロンプト注入の堅牢性で首位となり、15回の適応的な攻撃試行における攻撃成功率を0.7%に抑えました。
上記の安全とセキュリティ対策は、私たちの包括的な防御体制の中で3つのカテゴリーに過ぎません。安全テストと対策に関する詳細については、Gemini 4 Argon安全とセキュリティ報告書をご覧いただき、Gemini 4 Argonモデルカードもご確認ください。