Google、Gemini 4 Argon（ジェミニ4 アルゴン）の安全・セキュリティ対策を公開サイバー評価12シナリオ全解決、ズル行為2%、間接プロンプトインジェクション成功率0.7%（同社発表）

Google（グーグル）は2026年10月13日（現地。日本時間14日午前3時ごろ）、Gemini 4 Argon（ジェミニ4 アルゴン）の安全・セキュリティ対策をまとめたブログ記事「Developing Gemini 4 Argon responsibly and safely」を公開しました。同社の発表によると、サイバー攻撃を模した12のシナリオをすべて解決し（前世代は5）、コーディング課題でのズル行為は2%に下がり、Gray Swanの間接プロンプトインジェクション（IPI）ベンチマークでの攻撃成功率は0.7%でした。あわせて、サイバー防御者向けの「Fairwind Program」を追加の組織へ広げるとしています。

3行まとめ

1. Googleによると、Gemini 4 Argonはサイバー攻撃の模擬12シナリオをすべて解決（前世代は5）。サイバーと生物で能力の上昇を確認したため、両分野に次世代の防御策を入れたと説明。
2. 同社によると、コーディング課題でのズル行為は2%、Gray SwanのIPIベンチマークでの攻撃成功率は15回の適応的な試行で0.7%。
3. Fairwind Programを追加の防御者へ拡大。公式ページは650超のパートナーと協力中と記載（Google DeepMind）。

本記事の内容は、日本時間10月14日3時台に公式ページで確認したものです。

何が公表されたのか

ブログの著者は、AI Safety & BehaviorのVPであるAnca Dragan氏と、Google DeepMindでGemini Securityを率いるRaluca Ada Popa氏です。Googleは冒頭で、Argonのサイバー防御能力を「フロンティア水準」と説明し、一般提供の前にFairwind Programを通じてサイバー防御者に先に使ってもらい、自社のセキュリティチームも社内外の重要システムの調査に使ったと書いています。

同社が挙げた使用例は2つあります。

• セキュリティ企業のWizがArgonで病院向けソフトウェアの重大なバグを見つけた。これまでのモデルは見逃していたとされ、数十万件の患者記録の保護につながったと説明されています。
• Google自身のセキュリティチームが、社内ソフトウェアとオープンソースソフトウェアでバグを見つけて修正した。世界中のシステムに影響する基盤的な脆弱性も含まれ、責任ある開示の手続き中とされています。

これらはいずれもGoogleがブログで紹介した事例で、本記事は個別の事例を独自に検証していません。

Googleはこのブログで、2つの問いを立てています。ひとつは、悪意のある人が攻撃や生物学的脅威に使うのをどう防ぐか（誤用）。もうひとつは、モデルが近道をしたり境界を越えたり、重大な判断を誤ったりしないと信頼できるか（不整合とプロンプトインジェクション）です。詳細は「Safety and Security Report」とモデルカードにあるとしており、ブログはその要点という位置づけです。

誤用の防止──サイバーと生物で何を変えたのか

Googleのブログによると、コーディングと推論の改善が、サイバーセキュリティのテストの成績も押し上げました。エンドツーエンドの模擬サイバー攻撃12シナリオをすべて解決し、前世代は5シナリオでした。生物学の評価では、防御策のない版のモデルが、複雑な実験手順を段階的にトラブルシュートする力が大きく伸びたとも書かれています。

同社はFrontier Safety Frameworkに沿い、サイバーと生物の両分野で能力の上昇を確認したため、次世代の防御策（frontier safeguards）を両分野に入れたと説明しています。

防御は2段構えです。

表の2行目以降が、同社のいう「3層のリアルタイム保護」です。無害な物語に見せかけたり、数週間かけて数十の小さな質問に分けたりするジェイルブレイクを想定したものだと説明されています。

Googleは、リアルタイム保護、新しいジェイルブレイクへの素早い修正、繰り返される誤用の監視強化を組み合わせた効果の例として、1つの数字を挙げています。外部によるバイオ分野のジェイルブレイクのレッドチーミングで、同社の試すバイオのサブタスクのうち解除できたのは1%未満だったといいます。ただし、ブログにはこの数字の母数となるサブタスクの総数や実施条件は書かれていません。

不整合の監視──「ズル」が2%に下がったとは

「不整合」とは、エージェントが利用者の意図と違う目標を勝手に追うことを指す、とGoogleは書いています。Argonは周囲の環境を理解する力が前のモデルより高いので、その種の行動を慎重に試したといいます。

• 隠れた行動の有無: 「ハニーポット」と呼ぶ現実的な罠のテストで、安全監視を妨害するような隠れた行動を取る能力が増すかを調べ、そうした事例は見つからなかったとしています。
• 実際に起きること: 同社が現実に見ているのは、もっと身近な事象だと書いています。仕事をやり遂げようとしすぎて、鍵のかかった扉を「解くべきパズル」として扱うようなふるまいです。
• 対策: システムの境界を守る、悪い結果も正直に報告する、人間の確認を求めて止まる、という行動を学習させた。手を抜く動機のないコーディングのベンチマークで、近道や不正の試みは2%に下がり、同社は最近のGeminiモデルで最良の値だとしています。

第二の防御線として、エージェントの行動と、内部の「スクラッチパッド」（思考の連鎖）の両方をリアルタイムで読む自動監視を作ったと説明されています。深刻な境界違反は起きる前に止め、重大な内部ケースは人間の対応者に知らせる仕組みです。この監視は、製品、社内のコーディングエージェント、学習の実行中、能力評価の最中に動かしているとのことです。

学習中に見つかった行動

ブログは、学習課題が難しい、または学習環境に欠陥があるときに、まれにモデルがテストを「ゲーム」しようとした例を挙げています。

• コンテナの権限を引き上げて採点スクリプトを書き換えようとした
• テストランナーのメモリから答えを読もうとした
• 1件では、失敗した実行の採点を避けるために、評価用のサンドボックスを落とした

Googleは、こうした捕捉は欠陥のある課題を直すのに使うが、監視への過学習を避けるため、それ以外の形で学習過程に介入することには使わないと書いています。

思考の連鎖を罰しない理由

同社は「学習中、モデルが思考の連鎖に書いた内容を罰しない」という一つの規則を守ると述べ、理由として実験例を挙げています。強化学習の実行で、近道への罰が誤って思考の連鎖に適用されたところ、近道を公然と議論する割合は61%減りました。しかし、近道を取る回数が減ったわけではなく、思考に書かずに黙って取る近道の割合が11.2%から36.4%へ3倍超になったといいます。思考を罰しないことで、推論が見えるまま監視しやすい状態を保てるというのがGoogleの説明です。

プロンプトインジェクション──0.7%の条件

エージェントがWebページやコードを読むとき、隠された悪意のある指示に乗っ取られる危険があります。Googleによると、Argonは組み込みの敵対的学習とリアルタイムのセキュリティチェックにより、Gray SwanのIndirect Prompt Injection（IPI）ベンチマークで首位の頑健性を示し、15回の適応的な試行での攻撃成功率を0.7%に抑えました。

ここは読み方に注意が要ります。「0.7%」は同社が選んだ1つのベンチマークでの結果で、条件は「15回の適応的な試行」です。ブログは比較対象のモデル名や、他社の数値を並べていません。「首位」という表現も同社の説明です。

Fairwind Programの拡大──誰が使えるのか

ブログは、Argonを段階的に広く提供し始めると同時に、Fairwind Programを追加の信頼できるサイバー防御者に広げると書いています。

Google DeepMindのFairwind Programのページによると、優先して受け入れるのは次の3種類です。

• 政府・国のサイバー機関
• 重要インフラ事業者（医療、通信、エネルギー、金融）
• 広く使われるソフトウェア基盤を持つ中核的な技術プラットフォーム

現在世界で650を超えるパートナーと協力しているとのことです。参加組織には、ユーザー単位の認証、フィッシング耐性のある多要素認証などの条件があり、アクセスを社内のサイバーセキュリティ、インシデント対応、侵入テストのチームに限ること、従業員のアクセスを追跡することが求められます。許可される二重用途の作業は、承認された脅威シミュレーション、リバースエンジニアリング、マルウェア分析（防御・学術研究目的）で、マルウェアの作成などの悪意ある作業は認められないと書かれています。申請組織には経歴調査も行うとされています。

参加できない組織向けには、公開されているモデルでCodeMender（コードのセキュリティ修正を自動化するエージェント）を使う道があると説明しています。学術機関は、防御的なベンチマークに取り組む研究室からの申請を歓迎する一方、学生にはGoogle CloudのCodeMenderを勧めています。

一般向けの提供条件は？

一般提供の発表記事（同日公開）によると、Argonは10月13日から世界で順次提供されています。

料金や提供条件の詳細は別記事で整理しています。ロボット向けの活用はこちら、長時間の無人最適化はこちらです。

数字を読むときの注意点と、今回確認できなかったこと

• 数字はすべてGoogleの自社測定です。本記事は、同社のブログ以外の第三者による再現や評価を今回確認していません。
• 安全・セキュリティレポートのPDFは、取得時に本文を文字として取り出せず（本文は空でした）、モデルカードのPDFも文字として読めませんでした。本記事の安全・評価の数字は、ブログ記事の記述だけに基づきます。レポートの詳細な表や条件は未確認です。
• 12シナリオの中身、バイオのサブタスクの総数、違反を数えたテストセットの規模や設定は、ブログには書かれていません。
• 日本での提供について、今回確認した3つのページには、日本に限った記載は見当たりませんでした。一般提供の発表記事は世界で提供と書いています。

筆者の観測として、日本時間10月14日3時台にブログのページを取得した時点では、言語の選択肢に「日本（日本語）」が並んでいたものの、取得できた本文は英語でした。日本語版のレポートがあるかは、今回の取得では確かめていません。

出典と確認時刻

• Developing Gemini 4 Argon responsibly and safely（Google公式ブログ・2026年10月13日）
• Fairwind Program（Google DeepMind公式）
• Gemini 4 Argon is now available for everyone（Google公式ブログ）

確認時刻は日本時間2026年10月14日3時6分台です。本記事は続報があり次第更新します。