88,2 % des failles trouvées, mais porte filtrée : Gemini 4 Carbon et la cyberdéfense tunisienne

88,2 %. C'est le score annoncé par Google pour Gemini 4 Carbon sur SEC-bench Pro, un banc d'essai qui mesure la capacité d'une IA à dénicher des failles de sécurité dans du code réel. Le modèle a été présenté le 28 octobre 2026 sur le blog officiel de Google, signé par Koray Kavukcuoglu.

Google le qualifie de « modèle le plus puissant » de la maison, avec des capacités « de pointe » en cybersécurité et en tâches longues. Il arrive deux semaines à peine après Gemini 4 Argon, son prédécesseur, présenté le 13 octobre.

Mais la vraie nouvelle n'est pas le chiffre. C'est la porte. Carbon n'est pas ouvert à tout le monde : il est d'abord réservé à un cercle de « cyberdéfenseurs », puis à des partenaires de confiance, au compte-gouttes.

Un chasseur de failles qui patche aussi

Les chiffres publiés par Google dessinent un profil complet de « hacker éthique ». Trouver la faille : 88,2 % sur SEC-bench Pro. L'exploiter : 54,8 % sur ExploitGym. La corriger : 71,0 % sur CWE-bench.

Selon Google, l'équipe de Chrome aurait constaté que Carbon produit des correctifs de qualité « plus de 10 fois » meilleurs que le grand modèle d'un autre laboratoire. En interne, ses taux de réussite en génération de code sécurisé seraient plus de deux fois supérieurs à ceux d'Argon.

Côté classement général, le modèle obtient 59 points sur l'Artificial Analysis Intelligence Index v5.0, ce qui le place en tête selon l'annonce. En développement web, il atteint 1 768 points Elo sur WebDev Arena, au quatrième rang.

Google ajoute que, sur ses tests internes, Carbon peut travailler « pendant des jours » sur de grandes bases de code pour remonter à la racine d'un bug et le corriger. Autrement dit, un stagiaire qui ne demande jamais de pause thé.

Un tarif qui double après la promo

Pour les développeurs, l'étiquette est affichée, même si le produit n'est pas encore en rayon. Prix de lancement : 2 dollars par million de jetons en entrée, 10 dollars par million en sortie. Après la période d'introduction, ce sera le double : 4 et 20 dollars. Les jetons d'entrée mis en cache bénéficient d'une remise de 95 %.

Pour une startup de Sfax ou de l'Ariana qui facture en dinars et paie ses API en dollars, ce détail compte. Le prix « promo » ne durera pas, et chaque budget bâti sur lui devra être revu à la hausse. La remise sur le cache, en revanche, récompense ceux qui structurent bien leurs requêtes : relire cent fois le même code coûte beaucoup moins cher que de le renvoyer en entier.

Bonne nouvelle d'abord : la Tunisie figure bien sur la liste officielle des pays où Google AI Studio et l'API Gemini sont disponibles, aux côtés de l'Algérie, du Maroc, de la Libye et de l'Égypte. Les développeurs tunisiens ne partent donc pas avec un handicap géographique pour les modèles Gemini ouverts au public.

Mais pour Carbon, l'accès « général » aux développeurs, entreprises et particuliers est seulement promis « bientôt », sans date.

Fairwind, le club à l'entrée filtrée

D'ici là, la clé passe par le programme Fairwind de Google DeepMind. Sa page officielle affiche plus de 650 partenaires dans le monde et fixe des priorités claires : gouvernements et autorités nationales de cybersécurité, opérateurs d'infrastructures critiques (santé, télécoms, énergie, réseaux financiers), grandes plateformes technologiques et laboratoires universitaires de recherche défensive.

Les conditions sont strictes. Google vérifie le parcours des candidats, exige une authentification individuelle et une double authentification résistante à l'hameçonnage, et limite l'accès aux équipes internes de cybersécurité, de réponse aux incidents ou de tests d'intrusion. Revendre ou partager l'accès est interdit. Créer des logiciels malveillants aussi.

La page ne publie aucune liste de pays éligibles. Elle ne dit pas non plus quels partenaires y figurent. Impossible donc d'affirmer qu'un acteur tunisien y a déjà accès. Mais le profil recherché correspond, sur le papier, à des institutions qui existent chez nous.

Ce que ça change pour la Tunisie

Depuis le décret-loi n° 2023-17 du 11 mars 2023 relatif à la cybersécurité, la Tunisie dispose d'une Agence nationale de la cybersécurité, chargée de superviser la sécurité des systèmes d'information publics et privés. Le texte impose un audit obligatoire, au moins une fois tous les douze mois, aux opérateurs télécoms, aux hébergeurs et fournisseurs de cloud, aux entreprises traitant des données personnelles d'usagers et aux infrastructures numériques critiques.

Le même décret-loi oblige ces entités à signaler immédiatement les incidents et à corriger les défaillances relevées dans un délai de trente jours après un avertissement de l'Agence. Trente jours pour patcher : c'est précisément le type de course contre la montre où un modèle comme Carbon promet de faire gagner du temps.

Pour une banque, un opérateur ou un hôpital tunisien, l'enjeu est concret. Les auditeurs et pentesteurs locaux pourraient, à terme, travailler avec des outils capables de lire des millions de lignes de code et de proposer des correctifs. Pour les jeunes ingénieurs en sécurité formés dans nos écoles, ce n'est pas forcément une menace : c'est un nouvel établi. Celui qui saura piloter, vérifier et contredire la machine vaudra plus cher que celui qui se contente de lancer un scanner.

Reste une question de souveraineté. Envoyer le code source d'un système bancaire ou d'une plateforme publique vers un modèle hébergé à l'étranger n'est pas anodin. Google indique que, pour Argon, une option sans conservation de données existe via Gemini Enterprise. Les directions informatiques tunisiennes devront lire ces clauses à la loupe, à la lumière de leurs propres obligations légales.

Ce n'est pas une arme magique, mais c'est une course

Prudence sur les chiffres. Les scores cités sont publiés par Google lui-même, et la comparaison avec « un autre laboratoire » ne nomme personne. Les bancs d'essai mesurent des tâches précises, pas la sécurité réelle d'un réseau tunisien avec ses vieux serveurs et ses mots de passe collés sous le clavier.

Google insiste aussi sur la sécurité du modèle lui-même. Selon l'annonce, les tentatives de « triche » sur Terminal-Bench 4.0 tombent à 0,4 %, et le taux de réussite des attaques par injection indirecte de consignes mesuré par Gray Swan passe à 0,0 %, contre 0,7 % pour Argon. Le déploiement s'inscrit, précise Google, dans le processus volontaire de test avant publication mis en place par le gouvernement américain.

Ce n'est donc pas une arme en vente libre. Mais c'est un signal : les capacités offensives et défensives des IA progressent si vite que leurs créateurs choisissent désormais à qui les confier en premier. Un outil qui trouve 88 failles sur 100 dans les mains d'un défenseur en trouve autant dans celles d'un attaquant.

Pour la Tunisie, la leçon tient en deux temps. D'abord, se mettre en position d'être dans la file des « partenaires de confiance » plutôt que d'attendre la version grand public. Ensuite, former des profils capables d'exploiter ces outils, car le jour où ils seront ouverts à tous, les attaquants ne feront pas la queue.

Entre deux makrouds et un verre de thé, retenons ceci : en cybersécurité, l'IA ne remplace pas le gardien de la médina. Elle lui donne une lampe plus puissante. Encore faut-il qu'on lui ouvre la porte avant les voleurs.