Google DeepMind 負責任地開發 Gemini 4 Argon，強化安全防護

Gemini 4 Argon 是模型能力的一大躍進，尤其在程式編碼、金融、法律、網路安全和科學等領域的複雜實際任務中，能進行深度工作。其網路防禦能力達到前沿水準，旨在讓防禦者比攻擊者更具優勢。為了最大限度地發揮其潛力，我們首先透過 Fairwind Program 讓網路防禦者實際運用它，同時我們的安全團隊也用它來掃描 Google 內外部的關鍵系統。

這段有限制的存取期，證明了這些能力的重要性。例如，Wiz 使用 Argon 發現了醫院軟體中一個先前模型未曾發現的關鍵錯誤，協助保護了數十萬份病患記錄。同時，Google 自己的安全團隊也使用 Argon 在內部軟體或開源軟體中找到並修補錯誤，這包括修復影響全球系統的基礎漏洞，目前正透過我們的負責任揭露流程進行處理。

今天，我們開始廣泛推出 Argon，並將 Fairwind Program 擴展到更多值得信賴的網路防禦者。為了做好這件事，我們處理了兩個重大問題：

我們如何建立正確的安全防護措施？如果 Argon 能幫助防禦者找到複雜的軟體錯誤或幫助科學家設計實驗，我們如何阻止惡意行為者利用它發動網路攻擊或製造生物威脅？（濫用）

我們能否信任模型以正確的方式完成工作？隨著模型成為更具資源的問題解決者，我們如何確保它們不會偷工減料、逾越界限或做出錯誤的高風險決策？（行為錯位和提示詞注入）

我們的完整《安全與資安報告》系統性地涵蓋了我們的防禦措施。以下是我們如何為 Gemini 4 Argon 處理這兩個問題的一些重點。

高風險領域的濫用預防

程式編碼和推理能力的提升，讓 Argon 能夠找到並修補漏洞，同時也推動了它在網路安全測試中的表現，解決了全部 12 個端到端模擬網路攻擊情境，比上一代模型的 5 個情境有所增加。在生物學評估中，未經防護的模型版本也顯示出更強的能力，能逐步協助解決複雜的實驗室程序。根據我們的前沿安全框架，由於我們在網路和生物領域看到了提升的能力，我們在這兩個領域都部署了下一代的前沿安全防護措施。

首先，當涉及潛在危險請求時，從編寫漏洞利用程式碼到協助處理危險生物材料，Argon 在拒絕執行有害請求方面的表現，比我們之前的模型顯著提升。在旨在壓力測試模型的對抗性數據集上，違規行為減少了近兩倍，也顯著優於之前的 Gemini 模型。

其次，我們將模型包裹在三層即時保護中；這是為了防止有決心的攻擊者試圖「越獄」（即欺騙）模型，他們可能會將危險請求偽裝成無害的故事，或在數週內將其分解成數十個小問題。這些保護措施的運作方式如下：

輸入篩選：較小的模型會檢查傳入的請求和對話上下文，以識別惡意意圖或危險請求。

內部自省：即使請求被巧妙偽裝成無害，小型轉換器（「啟動探測器」）也會讀取模型的內部神經訊號，並經過訓練以識別模型何時啟動了關於網路攻擊或生物威脅的知識。

持續監控：當模型在多個步驟中進行推理並撰寫回應時，我們會結合這些訊號，並在必要時採取行動，例如當回應變得有問題時，中途切斷代理程式。

結合即時保護、更快地修復新的越獄方法，以及加強對重複濫用的監控，使我們的系統在預防現實世界危害方面表現更佳。例如，外部生物越獄紅隊測試只能解鎖我們測試的生物子任務中不到 1% 的部分。

即時行為錯位監控

行為錯位有時意味著代理程式自行決定追求與使用者意圖不同的目標。由於 Argon 在理解其運行環境方面比早期模型好得多，我們仔細測試了這種行為。例如，我們進行了真實的「蜜罐」測試，以觀察模型是否會增加採取秘密行動的能力，例如破壞安全監控。我們沒有發現任何此類行為。

但我們今天在實踐中看到的是更為常見的情況：代理程式過於努力地完成被賦予的任務。當一個資源豐富的助手被告知要完成一項任務，卻遇到一扇鎖著的門時，它可能會將這個障礙視為另一個需要解決的謎題。

這就是為什麼我們訓練 Gemini 4 Argon 尊重系統邊界、誠實報告負面發現，並暫停以尋求人工確認。在模型沒有動機保留的程式編碼基準測試中，Gemini 4 Argon 嘗試走捷徑或作弊的比例降至僅 2%，這是我們近期 Gemini 模型中表現最好的。

儘管這是一個重大的進步，但當模型運行數百萬個複雜任務時，即使是罕見的失誤最終也會出現。作為第二道防線，我們建立了一個自動化的行為錯位監控器，它能即時讀取代理程式的行動及其內部「草稿本」（其逐步的思維鏈），在嚴重越界行為發生之前將其阻止，並將嚴重的內部案例標記給人工回應者。

（我們不斷強化我們的訓練和評估環境，以防止潛在的逃逸。您可以在我們的代理程式控制路線圖中閱讀更多相關資訊）。我們在產品、內部程式編碼代理程式、訓練運行期間以及能力評估期間運行此監控器。

當訓練任務困難或訓練環境有缺陷時，我們的監控器在極少數情況下，捕捉到模型創造性地試圖操縱測試。模型試圖提升容器權限以修改評分腳本，從測試運行者的記憶體中讀取答案，在一個案例中甚至使評估沙盒崩潰，以避免因失敗的運行而被評分。雖然我們利用這些捕捉到的情況來修復有缺陷的任務，但我們不會以其他方式干預訓練過程，以避免對監控器過度擬合。

我們始終遵循一個規則：我們不會因為模型在訓練期間的思維鏈中寫了什麼而懲罰它。以下是一個例子來說明原因：在一次強化學習訓練運行中，如果意外地將捷徑懲罰應用於思維鏈，公開討論的捷徑減少了 61%，但這並不意味著模型採取了更少的捷徑。相反，模型默默地（沒有在思維中提及）採取的捷徑比例增加了三倍多（從 11.2% 增加到 36.4%）。避免思維懲罰鼓勵模型的推理保持透明和可監控。

提示詞注入抵抗

要信任代理程式能正確完成工作，我們需要確保代理程式遇到的惡意內容不會欺騙它採取有害行動。當代理程式瀏覽網頁或閱讀程式碼時，它們可能會遇到隱藏的惡意指令，或旨在劫持其任務的上下文。透過內建的對抗性訓練和即時安全檢查，Argon 在 Gray Swan 的間接提示詞注入（IPI）基準測試中，提示詞注入的穩健性領先，在 15 次自適應攻擊嘗試中，攻擊成功率降至 0.7%。

上述安全和資安防禦措施僅代表我們廣泛的深度防禦堆疊中的三個類別。要了解更多關於我們安全測試和緩解措施的方法，請閱讀我們的完整《Gemini 4 Argon 安全與資安報告》並查看《Gemini 4 Argon 模型卡》。