Gemini 3.5 Flash Cyber คืออะไร? โมเดลความปลอดภัยขั้นสูงจาก Google

Gemini 3.5 Flash Cyber คือโมเดล Flash ของ Google ที่ปรับแต่งสำหรับค้นหาและแก้ไขช่องโหว่ซอฟต์แวร์ ภายใต้โครงการ CodeMender เปิดตัวเมื่อวันที่ 21 กรกฎาคม 2026 พร้อมโมเดล Flash อีกสองรุ่น อย่างไรก็ตาม นักพัฒนาทั่วไปยังใช้งานไม่ได้: โมเดลนี้เป็นโครงการนำร่องแบบจำกัดสิทธิ์สำหรับหน่วยงานรัฐบาลและพันธมิตรที่เชื่อถือได้เท่านั้น ไม่มี Public API และไม่มีราคาที่เผยแพร่สู่สาธารณะ

ลองใช้ Apidog วันนี้

ดังนั้นบทความนี้ไม่ใช่คู่มือตั้งค่า Cyber เพราะยังไม่มี API key, model ID หรือโค้ดตัวอย่างที่เรียกใช้ได้จริง แต่จะอธิบายสถานะของโมเดล สิ่งที่โมเดลทำได้ และแนวทางที่คุณนำไปใช้กับงาน security ได้ตั้งแต่วันนี้

Gemini 3.5 Flash Cyber คืออะไร?

Gemini 3.5 Flash Cyber คือโมเดลเฉพาะทางด้านช่องโหว่ความปลอดภัยในโค้ด โดยเป็นส่วนหนึ่งของโครงการ CodeMender ของ Google ซึ่งมุ่งค้นหาและแก้ไขช่องโหว่ซอฟต์แวร์

ต่างจาก Flash รุ่นทั่วไปที่รองรับงานเขียนโค้ด วิเคราะห์ข้อมูล และงาน reasoning ที่หลากหลาย Cyber ถูกปรับแต่งเพื่อเป้าหมายหลักเดียว:

1. ตรวจจับรูปแบบโค้ดที่มีความเสี่ยง
2. ระบุช่องโหว่ที่อาจเกิดขึ้น
3. เสนอแนวทางแก้ไขโค้ด

Google ประกาศโมเดลนี้ในโพสต์โมเดล Gemini เดียวกับการอัปเดต Flash รุ่นอื่น ๆ ส่วนรายละเอียดของ Flash สำหรับงานทั่วไปดูได้จากหน้าโมเดล DeepMind Flash

ข้อควรแยกให้ชัดเจน:

• CodeMender คือโปรแกรมหรือโครงการ
• Gemini 3.5 Flash Cyber คือโมเดลที่พัฒนาขึ้นเพื่อสนับสนุนงานในโครงการนั้น
• ชื่อโมเดลคือ 3.5 Flash Cyber ไม่ใช่ 3.6

ข้อจำกัด: คุณอาจยังใช้มันไม่ได้

สถานะปัจจุบันของ Gemini 3.5 Flash Cyber คือการเข้าถึงแบบจำกัด Google เปิดให้เฉพาะรัฐบาลและพันธมิตรที่เชื่อถือได้ ยังไม่มีการเปิดใช้งานทั่วไปสำหรับนักพัฒนา

ในทางปฏิบัติ หมายความว่า:

• ไม่มี Public API
  
  คุณยังไม่สามารถระบุ model ID ของ Cyber ในแอปแล้วเรียกใช้งานเหมือนโมเดล Gemini ทั่วไปได้

• ไม่มีราคาสาธารณะ
  
  Google ยังไม่เผยแพร่อัตราค่าบริการต่อโทเค็น เพราะยังไม่มีช่องทางการเข้าถึงแบบเปิด เปรียบเทียบกับโมเดล Flash มาตรฐานที่มีราคาในเอกสารราคา Gemini API

• ไม่มีการสมัครใช้งานด้วยตนเอง
  
  ไม่มีปุ่มในคอนโซลหรือฟอร์มสาธารณะสำหรับเปิดใช้ Cyber ในบัญชีนักพัฒนาทั่วไป

หากคุณพบคู่มือที่อ้างว่ามี Cyber API, model string หรือราคา ให้ตรวจสอบแหล่งข้อมูลอย่างระมัดระวัง เพราะ Google ยังไม่ได้เผยแพร่ข้อมูลเหล่านี้สำหรับสาธารณะ

ทำไม Google ถึงจำกัดการเข้าถึง?

เหตุผลหลักคือความเสี่ยงจากการใช้งานได้สองทาง หรือ dual-use

โมเดลที่สามารถค้นหาช่องโหว่เพื่อช่วยทีมป้องกันระบบ ก็อาจถูกใช้เพื่อระบุจุดอ่อนสำหรับการโจมตีได้เช่นกัน การเปิดเครื่องมือค้นหาช่องโหว่ประสิทธิภาพสูงให้ทุกคนเข้าถึงทันที จึงเพิ่มความเสี่ยงด้านความปลอดภัยโดยตรง

รูปแบบการเปิดตัวแบบจำกัดช่วยให้ Google สามารถ:

1. ใช้งานโมเดลกับกรณีป้องกันระบบจริง
2. สังเกตพฤติกรรมและผลกระทบจากการใช้งาน
3. ประเมินความเสี่ยงก่อนขยายสิทธิ์การเข้าถึง

ไม่มีการประกาศวันเปิดตัวสู่สาธารณะอย่างเป็นทางการ ดังนั้นอย่าวางแผน workflow ที่ต้องพึ่งพา Cyber ในตอนนี้ ให้เลือกใช้เครื่องมือที่ทีมเข้าถึงได้จริงแทน

ตำแหน่งในตระกูล Flash

การอัปเดตวันที่ 21 กรกฎาคมเปิดตัวโมเดล Flash สามรุ่น ซึ่งใช้เลขเวอร์ชันต่างกัน:

• Gemini 3.6 Flash
  
  โมเดลอเนกประสงค์สำหรับงานเขียนโค้ดและวิเคราะห์ รองรับ context window 1 ล้านโทเค็น มี Free tier ใน Google AI Studio และมีราคาแบบสาธารณะ: 1.50 ดอลลาร์ต่อล้านโทเค็นอินพุต และ 7.50 ดอลลาร์ต่อล้านโทเค็นเอาต์พุต ดูรายละเอียดได้ที่ Gemini 3.6 Flash คืออะไร

• Gemini 3.5 Flash-Lite
  
  รุ่นสำหรับงานปริมาณสูงและเน้นต้นทุน เป็นรุ่นที่เร็วที่สุดในกลุ่ม โดยประมาณ 350 โทเค็นเอาต์พุตต่อวินาที ราคา 0.30 ดอลลาร์ต่อล้านโทเค็นอินพุต และ 2.50 ดอลลาร์ต่อล้านโทเค็นเอาต์พุต ดูรายละเอียดได้ที่ Gemini 3.5 Flash-Lite คืออะไร

• Gemini 3.5 Flash Cyber
  
  โมเดลเฉพาะทางด้านความปลอดภัย เข้าถึงได้เฉพาะรัฐบาลและพันธมิตรที่เชื่อถือได้ ไม่มี Public API และไม่มีราคาสาธารณะ

จุดที่อาจทำให้สับสนคือรุ่นหลักใช้หมายเลข 3.6 ขณะที่ Flash-Lite และ Cyber ใช้หมายเลข 3.5 นี่ไม่ใช่การพิมพ์ผิด แต่เป็นโมเดลที่อยู่คนละสายเวอร์ชัน

หากต้องเลือกระหว่างตัวเลือกแบบสาธารณะ ดูการเปรียบเทียบได้ที่ Gemini 3.6 Flash vs 3.5 Flash

นักพัฒนาควรทำอะไรได้บ้างในวันนี้?

แม้ยังใช้ Cyber ไม่ได้ แต่คุณสามารถสร้าง workflow ด้าน security ที่ใช้งานจริงได้ด้วยสองแนวทางต่อไปนี้

1. ใช้ Gemini 3.6 Flash สำหรับ security code review เบื้องต้น

Gemini 3.6 Flash เป็นโมเดลสาธารณะที่สามารถใช้ช่วยตรวจโค้ดได้ เช่น ขอให้ตรวจหา:

• การตรวจสอบ input ที่ขาดหายไป
• การจัดการ authentication หรือ authorization ที่ผิดพลาด
• การใช้ secret หรือ token อย่างไม่ปลอดภัย
• การ query ที่มีความเสี่ยงต่อ injection
• การ validate ข้อมูลก่อนบันทึกลงฐานข้อมูลไม่เพียงพอ

ตัวอย่าง prompt:

ตรวจสอบโค้ด API endpoint นี้ในมุมมองความปลอดภัย

- ระบุจุดที่อาจเกิดช่องโหว่
- อธิบายผลกระทบของแต่ละจุด
- เสนอแนวทางแก้ไขแบบเฉพาะเจาะจง
- อย่าสรุปว่าปลอดภัยหากไม่มีหลักฐานจากโค้ด

[วางโค้ดของคุณที่นี่]

ผลลัพธ์จากโมเดลควรเป็นจุดเริ่มต้นของการตรวจสอบ ไม่ใช่ผลการ audit ที่ยืนยันได้เอง ทีมยังต้องทดสอบและตรวจทานโค้ดจริงก่อน deploy

2. ทดสอบความปลอดภัยของ API อย่างเป็นระบบ

ปัญหา API ที่พบได้จริงจำนวนมากมักเกิดจาก:

• ไม่มี authentication หรือ authorization ที่ถูกต้อง
• การตั้งค่า transport security อ่อนแอ
• endpoint ไม่เป็นไปตาม API contract หลังการเปลี่ยนแปลง
• regression ที่เกิดขึ้นหลัง deploy

คุณสามารถทดสอบประเด็นเหล่านี้ได้โดยไม่ต้องใช้โมเดลเฉพาะทาง

Apidog ช่วยให้คุณส่งคำขอ API, เพิ่ม assertion และทำงานทดสอบซ้ำได้ โดยเริ่มจากกรณีต่อไปนี้

ตรวจสอบ authentication

ส่งคำขอไปยัง endpoint เดียวกันด้วยหลายสถานะของ token:

1. ไม่มี token
2. token หมดอายุ
3. token ไม่ถูกต้อง
4. token ที่ถูกต้องแต่ไม่มีสิทธิ์
5. token ที่ถูกต้องและมีสิทธิ์

ตัวอย่าง expectation:

GET /api/admin/users

ไม่มี token                 -> 401
token ไม่ถูกต้อง            -> 401
token ถูกต้องแต่ไม่มีสิทธิ์ -> 403
token ถูกต้องและมีสิทธิ์    -> 200

หากคำขอที่ไม่มี token ได้รับ 200 OK แทน 401 Unauthorized นั่นคือปัญหาที่ต้องแก้ไขทันที

ตรวจสอบ mTLS และใบรับรองไคลเอนต์

หากบริการของคุณต้องใช้ client certificate ให้ทดสอบทั้งกรณีที่ควรผ่านและควรถูกปฏิเสธ:

• คำขอที่แนบใบรับรองไคลเอนต์ถูกต้องควรเชื่อมต่อได้
• คำขอที่ไม่มีใบรับรองควรถูกปฏิเสธ
• คำขอที่ใช้ใบรับรองหมดอายุหรือไม่ถูกต้องควรถูกปฏิเสธ

ดูขั้นตอนได้ที่ การทดสอบ API ด้วยใบรับรองไคลเอนต์และ mTLS ใน Apidog

ตั้งเวลาทดสอบ API contract

ทุก endpoint ควรมี assertion ขั้นต่ำ เช่น:

• HTTP status code
• ฟิลด์สำคัญใน JSON response
• data type ของฟิลด์
• รูปแบบ error response
• header ที่เกี่ยวข้องกับ security

ตัวอย่าง assertion สำหรับ endpoint สร้างผู้ใช้:

POST /users

คาดหวัง:
- status code = 201
- response.body.id เป็น string
- response.body.email ตรงกับรูปแบบอีเมล
- response.body.password ไม่มีอยู่ใน response

จากนั้นตั้งเวลารันชุดทดสอบซ้ำเพื่อจับ regression หลังมีการเปลี่ยนแปลง ดูวิธีทำได้ที่ ตั้งเวลาทดสอบ API แบบซ้ำ

เริ่มต้นได้จากการตรวจสอบ authentication ก่อน เพราะมักตรวจพบปัญหาที่มีผลกระทบสูงด้วย effort ที่ไม่มากนัก ดาวน์โหลด Apidog เพื่อสร้างและรันชุดทดสอบ API ของคุณ

คำถามที่พบบ่อย

ฉันสามารถเข้าถึง Gemini 3.5 Flash Cyber ได้หรือไม่?

ไม่ได้ในตอนนี้ โมเดลนี้เป็นโครงการนำร่องแบบจำกัดสิทธิ์สำหรับรัฐบาลและพันธมิตรที่เชื่อถือได้ ยังไม่เปิดใช้งานแก่สาธารณะ

ฉันจะขอสิทธิ์เข้าถึงได้อย่างไร?

การเข้าถึงเป็นแบบเชิญและขึ้นอยู่กับความสัมพันธ์กับพันธมิตร ไม่ใช่การสมัครแบบเปิด หากองค์กรของคุณเป็นหน่วยงานรัฐบาลหรือพันธมิตรด้านความปลอดภัยของ Google การเข้าถึงจะดำเนินผ่านช่องทางความสัมพันธ์นั้น

สำหรับการเปลี่ยนแปลงสถานะ ให้ติดตามบล็อกของ Google และหน้าโมเดล DeepMind

มี API หรือราคาที่เผยแพร่แล้วหรือไม่?

ไม่มีสำหรับการใช้งานสาธารณะ ยังไม่มี model ID ที่นักพัฒนาทั่วไปเรียกใช้ได้ และไม่มีอัตราค่าบริการต่อโทเค็นที่ Google เผยแพร่

CodeMender คืออะไร?

CodeMender คือโครงการของ Google ที่มุ่งค้นหาและแก้ไขช่องโหว่ในโค้ด ส่วน Gemini 3.5 Flash Cyber คือโมเดลที่ปรับแต่งสำหรับงานดังกล่าว

ระหว่างนี้ควรใช้เครื่องมืออะไรสำหรับงาน security?

ใช้ Gemini 3.6 Flash สำหรับการตรวจโค้ดเบื้องต้น แล้วเสริมด้วยการทดสอบ API จริง โดยเน้น authentication, authorization, mTLS และ API contract regression

สรุป

Gemini 3.5 Flash Cyber เป็นโมเดลด้านความปลอดภัยของ Google สำหรับค้นหาและแก้ไขช่องโหว่ในโค้ดภายใต้โครงการ CodeMender แต่ยังเป็นโครงการนำร่องที่จำกัดสิทธิ์สำหรับรัฐบาลและพันธมิตรที่เชื่อถือได้

สำหรับนักพัฒนาทั่วไป ตอนนี้ยังไม่มี Public API, ราคา หรือวิธีสมัครใช้งานด้วยตนเอง

สิ่งที่ทำได้ทันทีคือใช้ Gemini 3.6 Flash ช่วยตรวจโค้ด และสร้างชุดทดสอบ API ที่ตรวจสอบ authentication, mTLS และ API contract อย่างต่อเนื่อง เพื่อจับปัญหาก่อนกลายเป็น incident ใน production