O que é Gemini 3.5 Flash Cyber? O modelo de segurança restrito do Google

Gemini 3.5 Flash Cyber é uma versão do modelo Flash do Google focada em segurança, ajustada para encontrar e corrigir vulnerabilidades de software. Foi lançado em 21 de julho de 2026 junto com outros dois modelos de nível Flash, mas é um piloto de acesso limitado para governos e parceiros de confiança — sem API pública ou preços públicos.

Experimente o Apidog hoje

Na prática, este não é um guia de configuração: não existe uma chave de API, ID de modelo público ou exemplo oficial para integrar o Cyber. O objetivo aqui é entender o que ele faz, por que o acesso é restrito e quais alternativas você pode implementar hoje.

O que é o Gemini 3.5 Flash Cyber?

O Gemini 3.5 Flash Cyber é um modelo especializado em vulnerabilidades de segurança. Ele faz parte do esforço CodeMender do Google, voltado a encontrar e corrigir falhas em código.

Enquanto o Flash geral atende tarefas amplas de código e raciocínio, o Cyber é ajustado para um objetivo específico:

1. identificar possíveis vulnerabilidades;
2. analisar o código afetado;
3. propor correções.

O Google anunciou o modelo no mesmo post sobre modelos Gemini que apresentou a atualização mais ampla da família Flash. Para conhecer a linha geral, consulte a página do modelo Flash da DeepMind.

Dois pontos evitam confusão:

• CodeMender é o programa de segurança.
• Gemini 3.5 Flash Cyber é o modelo ajustado para esse programa.

O nome correto também é 3.5 Flash Cyber, não 3.6.

O limite atual: você provavelmente não pode usá-lo

O Gemini 3.5 Flash Cyber é um piloto de acesso limitado. O Google o disponibilizou apenas para governos e parceiros de confiança, sem acesso público geral.

Isso significa:

• Não há API pública. Não é possível usar um ID de modelo Cyber em uma aplicação comum.
• Não há preços públicos. O Google não divulgou valores por token para esse modelo.
• Não há ativação self-service. Não existe uma opção no console para habilitá-lo em uma conta de desenvolvedor.

Compare isso com os modelos Flash públicos, que possuem preços na documentação de preços da API Gemini.

Se você encontrar tutoriais com uma suposta string de modelo Cyber, código de integração ou tabela de preços, trate essas informações com cautela: o Google não lançou esses recursos para uso público.

Por que o acesso é restrito?

O motivo é o risco de uso duplo.

Um modelo capaz de encontrar vulnerabilidades pode ajudar defensores a corrigir sistemas. A mesma capacidade também pode ajudar atacantes a localizar falhas exploráveis.

Por isso, o Google iniciou a disponibilidade com organizações verificadas. Esse modelo permite aplicar a ferramenta em cenários defensivos enquanto o fornecedor avalia:

• como o modelo é usado;
• quais riscos surgem na prática;
• se o acesso pode ser ampliado com segurança.

Não há uma data pública confirmada para abertura geral. Planeje sua implementação com base nas ferramentas disponíveis agora, e não em um modelo restrito.

Onde ele se encaixa na família Flash

A atualização de 21 de julho apresentou três modelos de nível Flash:

Gemini 3.6 Flash

É o modelo geral da linha. Tem janela de contexto de 1 milhão de tokens, nível gratuito no Google AI Studio e preços públicos de US$ 1,50 por milhão de tokens de entrada e US$ 7,50 por milhão de tokens de saída.

Veja os detalhes em o que é Gemini 3.6 Flash.

Gemini 3.5 Flash-Lite

É a opção de menor custo e alto volume. É o mais rápido dos três, com cerca de 350 tokens de saída por segundo, custando US$ 0,30 por milhão de tokens de entrada e US$ 2,50 por milhão de tokens de saída.

Veja os detalhes em o que é Gemini 3.5 Flash-Lite.

Gemini 3.5 Flash Cyber

É o especialista em segurança discutido neste artigo: disponível apenas para governos e parceiros de confiança, sem API ou preço público.

Observe a diferença de versão: o modelo geral avançou para 3.6, enquanto o Flash-Lite e o Cyber permanecem em 3.5. São trilhas de versão diferentes, não um erro de nomenclatura.

Para comparar os modelos públicos, veja Gemini 3.6 Flash vs 3.5 Flash.

O que implementar hoje no lugar do Cyber

Você não pode integrar o Cyber, mas pode aplicar práticas que resolvem grande parte do problema.

1. Use o Gemini 3.6 Flash como primeira revisão de código

O Gemini 3.6 Flash pode ajudar a revisar funções e identificar riscos comuns, como validação de entrada ausente, autorização incompleta ou tratamento inseguro de dados.

Use prompts específicos e envie apenas código que sua política de segurança permita compartilhar.

Exemplo de prompt:

Revise esta função em busca de riscos de segurança.

Verifique especificamente:
- validação de entrada;
- autenticação e autorização;
- injeção;
- exposição de dados sensíveis;
- tratamento de erros;
- possíveis condições de corrida.

Liste os problemas por severidade e sugira uma correção para cada item.

Trate a resposta como uma primeira passagem de revisão, não como uma auditoria de segurança. Valide cada descoberta com testes e revisão humana.

2. Teste a autenticação das suas APIs

Muitas falhas reais de API são causadas por endpoints que aceitam requisições sem as credenciais corretas.

Crie casos de teste para:

• token ausente;
• token expirado;
• token inválido;
• token válido sem a permissão necessária;
• token válido com a permissão necessária.

Exemplo de matriz esperada:

Um 200 em um caso que deveria retornar 401 ou 403 é uma descoberta concreta que deve bloquear o deploy.

Use um cliente de API como o Apidog para salvar essas requisições e executá-las de forma repetível.

3. Valide segurança de transporte e mTLS

Se sua API exige certificados de cliente, teste tanto o caminho válido quanto as tentativas sem certificado.

Verifique, no mínimo:

1. requisições com certificado de cliente válido;
2. requisições sem certificado;
3. requisições com certificado inválido ou expirado;
4. comportamento esperado do handshake TLS.

Consulte o passo a passo sobre como testar APIs com certificados de cliente e mTLS no Apidog.

4. Execute testes de contrato a cada deploy

Regressões de API podem introduzir problemas de segurança e compatibilidade sem alterar a autenticação diretamente.

Salve requisições e adicione asserções para:

• código de status;
• campos obrigatórios no JSON;
• tipo dos campos;
• ausência de dados sensíveis;
• formato de mensagens de erro.

Exemplo de contrato esperado:

{
  "status": 200,
  "body": {
    "id": "string",
    "email": "string"
  }
}

Evite que mensagens de erro retornem detalhes internos, como stack traces, consultas SQL ou tokens.

Depois, agende testes de API recorrentes para detectar regressões no momento em que ocorrem.

Essas verificações não exigem um modelo restrito. Exigem automação e disciplina de execução em cada mudança relevante.

Para começar, baixe o Apidog e implemente primeiro os casos de autenticação: normalmente, eles oferecem a melhor relação entre esforço e cobertura.

FAQ

Posso acessar o Gemini 3.5 Flash Cyber?

Não. Ele é um piloto de acesso limitado para governos e parceiros de confiança. Não está disponível ao público geral e não há ativação self-service.

Como solicito acesso?

O acesso é baseado em convite e parceria, não em inscrição aberta. Não existe um formulário público.

Se sua organização for um órgão governamental ou parceiro de segurança estabelecido do Google, o caminho passa pelo relacionamento existente com o Google. Para mudanças de status, acompanhe o blog do Google e as páginas de modelos da DeepMind.

Existe API ou preço publicado?

Não publicamente. Não há ID de modelo chamável para uso geral nem taxa por token divulgada.

O que é o CodeMender?

É o esforço do Google para encontrar e corrigir vulnerabilidades em código. O Gemini 3.5 Flash Cyber é o modelo ajustado para esse trabalho.

O que usar para segurança enquanto isso?

Use o Gemini 3.6 Flash para revisão inicial de código e execute testes de segurança padrão contra suas próprias APIs:

• autenticação;
• autorização;
• mTLS;
• contratos de API;
• validação de erros e respostas.

Resumo

O Gemini 3.5 Flash Cyber é um modelo real, criado para encontrar e corrigir vulnerabilidades como parte do CodeMender do Google. Porém, ele é restrito a governos e parceiros de confiança, sem API pública, preço público ou fluxo de ativação para desenvolvedores em geral.

A ação prática é usar o que está disponível: Gemini 3.6 Flash para revisão inicial de código e testes automatizados de autenticação, transporte e contrato para proteger suas APIs. Acompanhe os canais oficiais do Google caso o status de acesso mude.