Lucas

Posted on Sep 3 Originally published at apidog.com

O que é Gemini 3.8 Flash Cyber

Gemini 3.8 Flash Cyber: o que ele faz e como testar sua API sem acesso ao Fairwind

O Gemini 3.8 Flash Cyber é uma variante do Gemini 3.8 Flash otimizada para segurança, lançada pelo Google em 2 de setembro de 2026. Não há inscrição self-service, API pública, preço publicado ou opção de auto-hospedagem: o acesso ocorre exclusivamente pelo Fairwind Program, voltado a autoridades governamentais, operadores de infraestrutura crítica, mantenedores de software e plataformas de tecnologia essenciais.

Experimente o Apidog hoje

Por isso, este não é um artigo com comandos curl ou uma tabela de preços. O ponto é entender:

o que o modelo faz;
quem pode usá-lo;
quais obrigações os parceiros assumem;
o que os resultados publicados indicam;
como equipes sem acesso ao programa podem testar a segurança de suas APIs.

As principais fontes são a postagem de lançamento do Google e a página do Fairwind Program.

Gemini 3.8 Flash Cyber em resumo

Item	Valor
Anúncio	2 de setembro de 2026, junto com o Gemini 3.8 Flash
Modelo base	Gemini 3.8 Flash, descrito na ficha como “baseado no Gemini 3.7 Flash”
Objetivo	Descoberta de vulnerabilidades, aplicação de patches e fluxos defensivos de segurança
Acesso	Somente pelo Fairwind Program, com inscrição, verificações de antecedentes e obrigações contratuais
Grupos elegíveis	Autoridades governamentais confiáveis, operadores de infraestrutura crítica, mantenedores de software, plataformas de tecnologia essenciais e laboratórios acadêmicos de benchmarking defensivo
API pública	Nenhuma
Preço público	Nenhum
Auto-hospedagem	Não disponível; os pesos são fechados
Antecessor	Piloto limitado do Gemini 3.5 Flash Cyber, lançado em julho de 2026
Integração	CodeMender para correções automatizadas
Alternativa disponível	`gemini-3.8-flash`, pela Gemini API e pelo Google AI Studio

O que é o Gemini 3.8 Flash Cyber

O Cyber pode ser entendido como o Gemini 3.8 Flash com um envelope de segurança diferente, não necessariamente como uma linha de modelo completamente separada. O MarkTechPost descreveu a dupla como “um modelo central, dois envelopes de acesso”.

O modelo geral mantém o treinamento de segurança padrão e recusa solicitações ofensivas. A variante Cyber é ajustada para:

ler uma base de código;
identificar um bug explorável;
raciocinar sobre possíveis caminhos de exploração;
propor uma correção.

Essa capacidade tem uso defensivo e ofensivo. O mesmo modelo que ajuda a equipe de segurança do Chrome a corrigir bugs pode ajudar um invasor a encontrá-los. A estratégia do Google é:

manter o modelo no lado do servidor;
conceder acesso apenas a defensores verificados;
impor obrigações contratuais a cada licença.

Há duas consequências práticas:

Os dados de desempenho publicados vêm do Google ou de parceiros nomeados pelo Google; nenhum laboratório independente possui uma chave.
O “3.8” indica a capacidade de raciocínio e codificação subjacente. Para entender o modelo base em tarefas de agente de longo prazo, consulte o guia da API do Gemini 3.8 Flash, que aborda a API de Interações, os níveis de pensamento e o orçamento de tokens do design “trabalha mais”.

Fairwind Program: quem pode acessar

O Fairwind Program substitui o arranjo apenas para convidados usado no piloto do 3.5 Flash Cyber por um processo de inscrição documentado e obrigações padronizadas.

Quem pode se candidatar

O Google lista estas categorias:

autoridades governamentais confiáveis;
operadores de infraestrutura crítica;
mantenedores de software;
plataformas de tecnologia essenciais;
laboratórios acadêmicos que realizam benchmarking defensivo.

Todos os candidatos passam por verificações de antecedentes, incluindo histórico de segurança e o que o Google chama de “operações éticas”. O objetivo é reduzir o risco de uso ofensivo.

Não aparecem explicitamente na lista:

pesquisadores de segurança independentes;
bug bounty hunters;
consultorias;
empresas SaaS sem infraestrutura ou presença de plataforma.

Obrigações dos parceiros

A aprovação não encerra o processo. Os parceiros devem:

usar autenticação em nível de usuário para cada pessoa que interagir com o modelo;
exigir MFA resistente a phishing e controles de acesso;
limitar o uso às equipes internas de cibersegurança, resposta a incidentes e testes de penetração;
rastrear quais funcionários têm acesso e como o utilizam;
não compartilhar, redistribuir ou revender o acesso.

Um parceiro não pode encapsular o modelo em um serviço para revendê-lo nem emprestar uma chave a um contratado.

O que os resultados publicados indicam

Os resultados abaixo foram executados pelo Google ou relatados por parceiros nos materiais de lançamento. Até que sejam reproduzidos externamente, devem ser tratados como alegações do fornecedor.

Reivindicação	Fonte	Resultado
CyberGym	Google	Supera o 3.5 Flash Cyber e modelos de ponta maiores; nenhuma pontuação foi impressa no texto
Vulnerabilidades no mundo real	Google	Taxa de sucesso acima de 70% em 20 linguagens de programação
Patches no CWE-Bench	Google	47,2% pass@1, contra 47,8% do modelo de ponta líder, descrito como de “custo mais alto”
Patches para vulnerabilidades do Chrome	Equipe de segurança do Chrome	2,6 vezes mais patches corretos do que os melhores modelos comerciais, que são muito maiores
Recall em descobertas de segurança	Wiz	7,5 a 9,7 pontos percentuais a mais de recall, com custo 2,3 a 5,2 vezes menor
Tempo para encontrar uma vulnerabilidade crítica	Google Cloud Vulnerability Research	Menos de duas horas, contra meses anteriormente

A linha do CWE-Bench é a comparação mais transparente: o 47,2% está ligeiramente abaixo dos 47,8% do líder não identificado. O argumento do Google é o custo, não a precisão bruta.

Os números do Chrome e da Wiz comparam o Cyber a modelos comerciais muito maiores. Isso sugere que o benefício está em alcançar resultados próximos da fronteira usando um modelo do tamanho do Flash. Já o número de duas horas é uma anedota de uma equipe interna, não um benchmark.

CodeMender e correções automatizadas

A integração com o CodeMender influencia diretamente o fluxo de trabalho. Como o CodeMender é a ferramenta de correção automatizada do Google, uma vulnerabilidade encontrada pelo Gemini 3.8 Flash Cyber pode gerar um patch proposto imediatamente, em vez de terminar apenas como um relatório.

O Google não publicou uma análise de segurança específica da variante Cyber. A ficha do modelo Gemini 3.8 Flash cobre o modelo base e relata estas diferenças em relação ao 3.7 Flash:

segurança texto a texto: queda de 0,4 ponto;
segurança multilíngue: aumento de 5,4 pontos;
recusas injustificadas: aumento de 1,1 ponto.

Não foi declarado se essas diferenças também aparecem na otimização Cyber.

Como ele substitui o piloto 3.5 Flash Cyber

O Gemini 3.5 Flash Cyber foi lançado em 21 de julho de 2026, junto com o Gemini 3.6 Flash, como um piloto limitado para governos e parceiros confiáveis. Ele também nunca teve uma superfície pública. Veja o explicador do 3.5 Flash Cyber e a comparação GPT-5.6 Cyber vs. Gemini 3.5 Flash Cyber.

As principais mudanças no 3.8 são:

Modelo base mais avançado. O 3.5 Flash Cyber usava a linha antiga do 3.5 Flash. O 3.8 Flash Cyber herda o design “trabalha mais”, o contexto de 1.048.576 tokens e o comportamento iterativo de chamada de ferramentas do 3.8 Flash — recursos adequados à caça de vulnerabilidades de longo prazo.
Piloto transformado em programa. O Fairwind formaliza elegibilidade, verificações de antecedentes e obrigações que antes eram negociadas caso a caso.
Resultados de parceiros publicados. O lançamento cita Chrome, Wiz e Google Cloud Vulnerability Research e apresenta números, embora todas as fontes sejam ligadas ao Google.

A cobertura do 9to5Google descreve o Cyber como “substituindo a versão 3.5”. [VERIFICAR] O Google não publicou uma data de desativação para o acesso existente ao piloto 3.5 Flash Cyber nem informou se os parceiros atuais serão transferidos automaticamente para o Fairwind.

O GPT-5.6 Cyber ocupa um nicho semelhante: capacidade de segurança, acesso verificado e nenhuma API pública. Uma comparação direta não é possível sem acesso aos dois modelos, e nenhum laboratório independente possui ambos.

O que equipes sem acesso ao Fairwind podem fazer

A maioria das equipes não se qualificará para o Fairwind. O modelo acessível é o Gemini 3.8 Flash, disponível por US$ 0,75 por milhão de tokens de entrada e US$ 3,75 por milhão de tokens de saída até 31 de dezembro de 2026. Em 1º de janeiro de 2027, os valores dobram para US$ 1,50 e US$ 7,50.

O modelo oferece:

chamada de função;
saídas estruturadas;
execução de código;
níveis de pensamento low, medium e high;
acesso pela Gemini API e pelo Google AI Studio.

A análise de preços do Gemini 3.8 Flash detalha o cálculo de tokens para revisões de código em volume.

O 3.8 Flash comum pode revisar código, explicar uma classe CVE e corrigir um bug específico. Porém, ao receber um pedido para encontrar caminhos exploráveis em um alvo em tempo real, ele aplicará as recusas do modelo geral.

Para a maioria das equipes de API, isso não é uma limitação prática. Os incidentes mais comuns envolvem:

autenticação quebrada;
verificações de autorização ausentes;
entrada não validada;
endpoints que deixam de ser testados após uma alteração.

Esses problemas não exigem um caçador de vulnerabilidades de ponta. Exigem testes agendados que falhem de forma clara.

Teste a postura de segurança da sua API no Apidog

O Apidog é um cliente de API e uma plataforma de testes, não um scanner de vulnerabilidades. Ele não encontrará um bug de segurança de memória da mesma forma que o 3.8 Flash Cyber encontrou um no Chrome.

O que ele faz é verificar diariamente se a API continua obedecendo às regras definidas pela equipe. Três padrões cobrem a maior parte do trabalho.

1. Verificações de autenticação

Para cada endpoint protegido, crie um cenário com quatro variantes:

token válido;
ausência de token;
token expirado;
token com escopo ou função incorretos.

Valide:

200 para o token válido;
401 ou 403 para as demais variantes.

Armazene os tokens como variáveis de ambiente para executar o mesmo cenário em staging e produção. Isso detecta uma falha comum: um endpoint que deixou de verificar autorização após uma refatoração.

2. Testes negativos

Envie entradas que um invasor poderia usar:

JSON malformado;
payloads excessivamente grandes;
strings onde inteiros são esperados;
valores de injeção em parâmetros de caminho e consulta;
casos extremos de Unicode.

A API deve responder com um erro controlado 4xx e um corpo limpo. Um 500 indica que a validação não está sendo executada; um stack trace expõe detalhes desnecessários para quem fez a requisição.

3. Execuções agendadas

Configure os cenários para rodar:

em todos os ambientes;
em uma cadência fixa;
a cada implantação.

O guia de testes de API agendados no Apidog mostra essa configuração. O objetivo é detectar regressões no dia em que são introduzidas, e não durante uma auditoria trimestral.

Se sua stack também usa o Gemini 3.8 Flash, o mesmo workspace pode incluir:

uma chamada para a API de Interações;
validação do esquema de resposta;
verificação das contagens de tokens em usageMetadata;
execução agendada junto com os cenários de segurança.

Para começar, baixe o Apidog.

FAQ

Posso obter acesso à API do Gemini 3.8 Flash Cyber?

Não. Não há API pública, inscrição self-service ou página de preços. O acesso ocorre pelo Fairwind Program, que exige inscrição, verificações de antecedentes e aceitação das obrigações operacionais. Organizações elegíveis podem se inscrever pela página do Fairwind Program.

Quanto custa o Gemini 3.8 Flash Cyber?

O Google não publicou um preço. Os termos são definidos dentro do Fairwind Program e não são públicos. Qualquer valor divulgado em outro lugar é especulativo.

O Gemini 3.8 Flash Cyber é um modelo diferente do Gemini 3.8 Flash?

Ele compartilha o modelo central. A diferença está na otimização e no envelope de acesso: a variante Cyber lida com tarefas de segurança ofensiva que o modelo geral recusa e só está disponível para defensores verificados. Consulte também o artigo O que é o Gemini 3.8 Flash?.

Como ele se compara ao GPT-5.6 Cyber?

Ambos são restritos, têm como objetivo descobrir e corrigir vulnerabilidades e não oferecem API pública. Uma comparação direta não é possível sem acesso aos dois modelos. A página Gemini Flash da DeepMind reúne outros números publicados pelo Google.

O que devo usar se não conseguir acesso?

Use o Gemini 3.8 Flash para revisão e explicação de código, combinado com:

verificações de autenticação;
testes negativos;
execuções agendadas de segurança da API.

Essa combinação cobre os modos de falha por trás da maioria dos incidentes reais de API.

Conclusão

O Gemini 3.8 Flash Cyber representa um avanço de capacidade para os defensores autorizados pelo Google, e o Fairwind Program oferece uma porta de entrada mais clara e rigorosa do que o piloto 3.5.

Para quem está fora do programa, as opções práticas não mudaram: o Gemini 3.8 Flash está disponível hoje, e a responsabilidade principal continua sendo provar que sua API rejeita tokens e entradas inválidas. Execute esses testes em um cronograma fixo e você encontrará justamente a classe de bugs que causa a maioria dos incidentes — sem precisar de um modelo restrito.

DEV Community