Google lanceert Gemini 3.8 Flash Cyber voor geautomatiseerde beveiliging

TL;DR

• Wat: Google brengt Gemini 3.8 Flash Cyber uit, een AI-model dat kwetsbaarheden in software opspoort en automatisch patches genereert.
• Waarom relevant: Cybercrime kost Nederland jaarlijks zo'n 10 miljard euro en 43% van alle datalekken treft het MKB — snellere detectie en reparatie van kwetsbaarheden raakt dus direct je bedrijfsrisico.
• Wat je ermee kunt: Vraag je IT-leverancier of de beveiligingstools die je gebruikt al gebruikmaken van dit soort AI-modellen voor kwetsbaarheidsdetectie en automatische patching.

Google DeepMind publiceerde op 2 september 2026 twee nieuwe AI-modellen: Gemini 3.8 Flash en Gemini 3.8 Flash Cyber. Ik viel vooral over die tweede variant, omdat het een van de eerste keren is dat een grote techpartij een AI-model specifiek positioneert als verdedigingswapen voor cybersecurity — en het alleen beschikbaar maakt voor partijen die het écht nodig hebben.

Wat doet Gemini 3.8 Flash Cyber precies?

Het model is getraind om twee dingen te doen: kwetsbaarheden in software opsporen én daar automatisch werkende reparaties (patches) voor maken. Dat klinkt misschien abstract, dus laat me het iets concreter maken.

Software bevat vrijwel altijd fouten — sommige onschuldig, andere gevaarlijk. Een kwetsbaarheid is zo'n gevaarlijke fout: een plek in de code waar een aanvaller misbruik van kan maken om bijvoorbeeld data te stelen of systemen plat te leggen. Het vinden van die plekken is specialistenwerk. Het vervolgens repareren zonder andere dingen kapot te maken is nóg lastiger.

Wat mij opvalt aan dit model is dat Google claimt dat het meer dan 20 programmeertalen kan scannen en daarbij een slagingspercentage van meer dan 70% haalt op interne tests. Ter vergelijking: het vorige model (3.5 Flash Cyber) scoorde daar volgens Google beduidend lager op.

Concrete resultaten van testpartners

Google noemt een paar cijfers van externe partijen die het model getest hebben:

• Chrome Security-team: het model genereerde 2,6 keer meer correcte patches voor Chrome-kwetsbaarheden dan vergelijkbare commerciële modellen.
• Beveiligingsbedrijf Wiz: 7,5% tot 9,7% hogere detectie bij hun interne penetratietests, tegen 2,3 tot 5,2 keer lagere kosten.
• Google Cloud Vulnerability Research: ontdekte een kritieke kwetsbaarheid in minder dan twee uur — een proces dat normaal maanden duurt.

Ik vind het eerlijk gezegd opvallend dat Google externe partijen als Wiz en Palo Alto Networks citeert. Het geeft de claims iets meer gewicht dan wanneer alleen de maker zelf aan het woord is. Maar het blijft goed om te beseffen dat dit vroege benchmarks zijn — hoe het model presteert in de volle breedte van de praktijk, moet nog blijken.

Niet voor iedereen: het Fairwind-programma

Een belangrijk detail dat makkelijk over het hoofd te zien is: je kunt dit model niet zomaar gebruiken. Gemini 3.8 Flash Cyber is alleen beschikbaar via het zogeheten Fairwind-programma. Dat is een nieuw initiatief van Google dat toegang beperkt tot:

• Overheidsinstanties
• Beheerders van kritieke infrastructuur
• Softwareonderhoudsteams en beveiligingsbedrijven

Je moet je aanmelden en worden goedgekeurd. Wat mij betreft is dat een verstandige keuze. Een model dat kwetsbaarheden kan vinden, is namelijk ook potentieel bruikbaar door aanvallers. Door de toegang te beperken tot verdedigende partijen, probeert Google te voorkomen dat het model als aanvalswapen wordt ingezet. Google zegt ook expliciet dat het model ontworpen is met "defensieve patching" als uitgangspunt, niet met exploitatie.

Wat betekent dit voor een ondernemer in Nederland?

Oké, dus je kunt als MKB-ondernemer niet zomaar inloggen en dit model draaien. Waarom schrijf ik er dan over?

Omdat de effecten indirect wél bij jou terechtkomen. En daar zit voor mij het interessante.

In Nederland kost cybercrime jaarlijks naar schatting zo'n 10 miljard euro. Uit recente cijfers blijkt dat 43% van alle datalekken het MKB treft, en dat 61% van MKB-bedrijven het afgelopen jaar te maken had met een datalek. Tegelijkertijd investeert een gemiddeld MKB-bedrijf tussen de 2.000 en 15.000 euro per jaar in cybersecurity — een fractie van wat grote bedrijven uitgeven.

Stel dat je als ondernemer software gebruikt die onderhouden wordt door een partij die wél toegang heeft tot dit soort modellen. Dan worden kwetsbaarheden in jouw tools mogelijk sneller gevonden en gerepareerd. De belofte is dat patches die nu weken of maanden duren, straks in uren klaar zijn. Dat verkleint het venster waarin jouw systemen kwetsbaar zijn.

Kun je je voorstellen wat dat betekent als je een webshop draait, klantdata verwerkt of met financiële gegevens werkt? Elke dag dat een kwetsbaarheid open staat, is een dag waarop iemand er misbruik van kan maken.

De kostenkant

Wat mij ook opvalt is de prijs. Het standaardmodel Gemini 3.8 Flash kost 0,75 dollar per miljoen invoertokens. De Cyber-variant krijgt vanaf 1 januari 2027 een standaardprijs van 1,50 dollar per miljoen invoertokens en 7,50 dollar per miljoen uitvoertokens. Dat is voor AI-modellen relatief betaalbaar — zeker vergeleken met het inhuren van gespecialiseerde beveiligingsonderzoekers, wat in Nederland al gauw 60.000 tot 80.000 euro per jaar kost.

Dat maakt het aannemelijk dat beveiligingsbedrijven die nu pentests en vulnerability scans aanbieden aan het MKB, dit soort modellen gaan integreren in hun dienstverlening. Niet morgen, maar ik denk wel binnen afzienbare tijd.

Kanttekeningen

Een paar dingen om in het achterhoofd te houden:

• De benchmarks zijn indrukwekkend, maar het zijn vroege resultaten. Een pass@1-score van 47,2% op CWE-Bench (een standaardtest voor kwetsbaarheidsreparatie) betekent dat het model bij de eerste poging in minder dan de helft van de gevallen een werkende patch levert. Dat is goed vergeleken met andere modellen, maar het is geen 100%.
• Het model is geoptimaliseerd voor verdediging, maar de grens tussen "kwetsbaarheid vinden om te repareren" en "kwetsbaarheid vinden om uit te buiten" is dun. Het Fairwind-programma is een poging die grens te bewaken, maar hoe effectief dat in de praktijk is, weten we nog niet.
• Google is zowel de maker als de partij die de benchmarks presenteert. De externe validatie door Wiz en Palo Alto Networks is waardevol, maar onafhankelijk peer-reviewed onderzoek is er nog niet.

Waar het op neerkomt

Voor mij is dit vooral een signaal dat cybersecurity steeds meer een AI-race wordt — en dat die race niet alleen gaat over wie de slimste aanval kan bedenken, maar ook over wie het snelst kan repareren. Het feit dat Google een apart model uitbrengt, met beperkte toegang en een expliciet defensief doel, zegt iets over hoe serieus de dreiging wordt genomen.

Als ondernemer hoef je dit model niet zelf te draaien. Maar het is wel verstandig om je IT-leverancier of beveiligingspartner te vragen hoe zij omgaan met geautomatiseerde kwetsbaarheidsdetectie. Want de tools die zij gebruiken, worden de komende jaren waarschijnlijk flink anders dan wat ze nu zijn.