Gemini 4 Carbon dẫn đầu bảng xếp hạng AI nhưng mới chỉ mở cho giới phòng thủ an ninh mạng

Thứ Tư, 28/10/2026, Google công bố Gemini 4 Carbon và gọi đây là “model mạnh nhất của chúng tôi, đạt mức tiên tiến nhất về an ninh mạng và các tác vụ dài hơi”. Bài công bố do Koray Kavukcuoglu, phó chủ tịch cấp cao của Google DeepMind kiêm kiến trúc sư trưởng về AI của Google, đứng tên. Nó ra mắt chỉ hai tuần sau khi Gemini 4 Argon mở cho lập trình viên qua Gemini API (ngày 13/10). Trước đó, từ ngày 30/9, Argon đã được trao cho các đơn vị phòng thủ an ninh mạng, như blog này đã phân tích.

Carbon đi theo đúng lộ trình đó, chỉ nhanh hơn. Ngay trong tuần này, model được cấp cho “một nhóm đơn vị phòng thủ an ninh mạng”, rồi mở dần cho các đối tác tin cậy qua chương trình Fairwind của Google. Lập trình viên, doanh nghiệp và người dùng phổ thông được hứa là sẽ có “sớm nhất có thể”, nhưng chưa có ngày cụ thể. Thật ra Carbon đã được nhắc đến từ nhiều tuần trước dưới tên mã nội bộ. Đầu tháng 10, Business Insider đưa tin nhân viên Google đang thử nghiệm nó, và sau đó một phiên bản ẩn danh xuất hiện trên LM Arena.

Con số được quảng bá nhiều nhất

Tuyên bố chính của Google là Carbon đứng số 1 trên Artificial Analysis Intelligence Index phiên bản 5.0, với 59 điểm. Artificial Analysis (AA) là một tổ chức đánh giá model độc lập. Trang của AA cũng xác nhận Carbon (chế độ suy luận High) xếp thứ nhất trong 57 model. Theo báo chí, Claude Opus 5.5 kém một điểm (58) và GPT-6 Astra đạt 57. Với một chỉ số tổng hợp từ chín bài kiểm tra, chênh lệch một điểm gần như nằm trong sai số. Dù vậy, đã nhiều tháng nay mới có một model của Google đứng đầu chỉ số này.

Bài phân tích của AA cho thêm những chi tiết mà Google không nhắc tới:

Carbon dẫn đầu ở bốn trên chín bài đánh giá, trong đó có Humanity’s Last Exam (bản Diamond), Terminal-Bench Science và AA-Omniscience, bài đo kiến thức và mức độ “bịa” thông tin của chính AA.
Trên Coding Agent Index của AA (chạy model trong bộ công cụ lập trình đi kèm của từng hãng), Carbon chạy trong Antigravity CLI của Google đạt 59 điểm. Claude Code với Opus 5.5 ở mức nỗ lực cao nhất đạt 62. Carbon đứng thứ hai, kém ba điểm, và AA nhận xét lập trình bằng agent là mảng mà “Google trước nay vẫn yếu”. Trên Terminal-Bench 4.0, Carbon được 64%, cũng xếp thứ hai.
Ở AA-Omniscience, độ chính xác tăng 10 điểm so với Argon, lên 58%. Nhưng tỷ lệ hallucination (model tự bịa ra thông tin sai) cũng tăng, từ 4% lên 11%. Mức này vẫn thấp thứ hai trong mọi model AA theo dõi, chỉ sau Argon, nhưng xu hướng thì đáng để ý: model biết nhiều hơn, đồng thời cũng bịa nhiều hơn.

Các con số về an ninh mạng

Lý do Google kiểm soát chặt việc phát hành nằm ở năng lực bảo mật. Google công bố ba kết quả trên benchmark bên ngoài, đều đo khi không bật cơ chế bảo vệ (guardrail):

Benchmark	Nội dung đo	Carbon
SEC-bench Pro	Tìm lỗ hổng	88,2%
ExploitGym	Viết mã khai thác (exploit) chạy được	54,8%
CWE-bench (Collinear)	Viết bản vá đúng	71,0%

Để so sánh, lúc ra mắt Argon đạt 68,0% trên CWE-bench v1, ngang GPT-6 Astra. Như vậy Carbon chỉ hơn khoảng ba điểm ở khâu vá lỗi, chưa phải bước nhảy vọt. Con số đáng chú ý hơn là khả năng khai thác. Một model biến được hơn một nửa mục tiêu trong ExploitGym thành exploit hoạt động chính là loại công cụ mà các hãng không muốn đưa thẳng lên API công khai. Anthropic và OpenAI cũng dùng lập luận tương tự cho các đợt phát hành theo từng giai đoạn của họ trong mùa thu này.

Google còn đưa ra một số kết quả nội bộ mà bên ngoài không kiểm chứng được: viết mã an toàn tốt hơn Argon “hơn 2 lần”; theo đội Chrome, Carbon viết bản vá chất lượng cao “tốt hơn hơn 10 lần so với một model lớn của một phòng thí nghiệm khác”, nhưng không nói đó là hãng nào; và Wiz, công ty Google mua lại trong năm nay, nói Carbon dẫn đầu các benchmark kiểm thử xâm nhập web của họ mà không kèm con số.

Các tuyên bố về an toàn

Google cho biết Carbon dùng cùng hệ thống bảo vệ nhiều lớp như Argon: huấn luyện để từ chối yêu cầu nguy hiểm, phát hiện lạm dụng theo thời gian thực, chống prompt injection (tấn công bằng cách cài lệnh vào nội dung model đọc) và giám sát chuỗi suy luận. Ba kết quả được nêu:

Benchmark prompt injection của Gray Swan: tỷ lệ tấn công thành công 0,0%, giảm từ 0,7% của Argon.
Terminal-Bench 4.0: tỷ lệ gian lận thành công (ví dụ sửa test thay vì giải bài) giảm còn 0,0%, số lần thử gian lận là 0,4%.
Khi lập trình thực tế trong nội bộ, “cảnh báo lệch hành vi mức nghiêm trọng cao giảm gần 80%”.

Đây là những con số tích cực, nhưng bài công bố không cho biết cỡ mẫu. Hơn nữa, đạt 0,0% trên một bộ tấn công cố định không nói lên điều gì về các kiểu tấn công nằm ngoài bộ đó. Google cũng cho biết đang tham gia quy trình thử nghiệm tự nguyện trước khi phát hành của chính phủ Mỹ, nhưng không nói quy trình này phát hiện ra gì.

Lập trình viên cần lưu ý gì

Những thông tin thực tế đã được công bố:

Giá: giống mức giá khởi điểm của Argon, 2 USD cho mỗi triệu token đầu vào và 10 USD cho mỗi triệu token đầu ra, input đã cache được giảm 95%. Sau giai đoạn khởi điểm, giá là 4 USD / 20 USD, bằng Opus 5.5. Google chưa nói khi nào giai đoạn này kết thúc.
Ngữ cảnh: AA ghi nhận context window 1 triệu token, nhận đầu vào văn bản, hình ảnh, giọng nói và video.
Chi phí mỗi tác vụ: trong các lượt chạy chỉ số của AA, Carbon tốn 7,76 USD mỗi tác vụ. Opus 5.5 ở mức nỗ lực cao nhất tốn 10,04 USD, tức đắt hơn khoảng 23%, còn GPT-6 Astra tốn 6,25 USD. Carbon sinh ra ít hơn Opus 5.5 29% token đầu ra, nhưng AA vẫn đánh giá nó “rất dài dòng” so với mặt bằng chung.
Độ trễ: đây là điểm yếu. AA đo được thời gian đến token đầu tiên khoảng 98 giây trên API của Google, trong khi trung vị chỉ khoảng 3 giây. Khi đã bắt đầu trả kết quả, tốc độ ở mức trung bình, khoảng 85 token mỗi giây. Những người thử sớm trên LM Arena cũng từng chê model “chậm khủng khiếp”. Với các tác vụ agent chạy dài, một phút rưỡi suy nghĩ có thể không thành vấn đề. Nhưng với mọi ứng dụng tương tác, Carbon ở dạng hiện tại gần như không dùng được.

Vì sao đáng chú ý

Có ba điểm nổi bật.

Nhịp ra mắt. Google đưa Argon đến tay lập trình viên ngày 13/10 và công bố model kế nhiệm 15 ngày sau. Một thế hệ model giờ chỉ tính bằng tuần, nên công cụ, bộ đánh giá và prompt tinh chỉnh cho một model sẽ nhanh chóng lỗi thời. Đội nào cố định phiên bản model và tự chạy lại bộ đánh giá của mình mỗi lần có bản mới sẽ chủ động hơn đội chạy theo bảng xếp hạng.

“Đã phát hành” ngày càng ít ý nghĩa. Lần thứ hai trong một tháng, model mạnh nhất của Google đã tồn tại, đã có giá và đứng đầu bảng xếp hạng, nhưng gần như chưa ai gọi được. Mở cho bên phòng thủ trước giờ đã thành thông lệ ở các phòng thí nghiệm AI hàng đầu. Khi đọc một bài công bố model, hãy xem mục “ai được dùng, khi nào” trước tiên.

Cuộc đua sát đến mức bộ công cụ quyết định thắng thua. Trên chỉ số tổng hợp, Carbon hơn một điểm. Trên chỉ số coding agent, nó kém ba điểm. Model nào “thắng” tùy thuộc vào loại việc, mức nỗ lực suy luận và agent bọc quanh nó. Với phần lớn đội kỹ thuật, câu hỏi hữu ích không phải “model nào tốt nhất” mà là cặp model và công cụ nào làm tốt trên chính codebase của mình, với độ trễ và chi phí chấp nhận được.

Những câu hỏi còn bỏ ngỏ

Khi nào Carbon có mặt trên Gemini API và Vertex AI, với model ID nào? Lập trình viên sẽ nhận đủ năng lực an ninh mạng hay một phiên bản bị giới hạn?
Tỷ lệ hallucination cao hơn có gây vấn đề trong thực tế không, nhất là với các quy trình agent hành động dựa trên những gì model khẳng định?
Thời gian chờ 98 giây đến token đầu tiên là đặc điểm của chế độ suy luận High, hay chỉ do hạ tầng còn hạn chế ở giai đoạn triển khai sớm?
Google chưa công bố model card hay báo cáo an toàn riêng cho Carbon. Bài công bố chỉ dẫn tới báo cáo an toàn của Argon.

Carbon có vẻ là một bước tiến thật của Google, nhất là ở mảng coding agent vốn lâu nay tụt lại. Nhưng phần lớn bằng chứng vẫn do chính Google đưa ra, dữ liệu độc lập cho thấy cái giá thật về độ trễ và hallucination, và hiện mới chỉ một nhóm nhỏ đơn vị phòng thủ được tự mình kiểm chứng.