【Gemini 3.8 Flash】登場。開発スピードとセキュリティをAIでどう変える？

開発のスピードアップとセキュリティ運用の強化は、現場ではどうしてもトレードオフになりがちなテーマです。

新しい機能を素早くリリースしたい一方で、コードの品質や脆弱性も確認しなければならない。開発チームがスピードを上げれば上げるほど、レビューやテスト、セキュリティチェックの負担も増えていく――。こうした悩みは、AIを活用した開発が広がった現在でも無視できません。

そんな中、Googleが2026年9月に発表したのが「Gemini 3.8 Flash」と、サイバーセキュリティに特化した「Gemini 3.8 Flash Cyber」です。

今回のアップデートで注目したいのは、単純に「AIのコーディング能力が上がった」という点だけではありません。Gemini 3.8 Flashはソフトウェアエンジニアリングや自律型エージェント、複数ステップの推論を強化。一方のGemini 3.8 Flash Cyberは、脆弱性の発見や自動パッチ生成といったサイバーセキュリティ領域にフォーカスしています。

つまり、「AIで開発を速くする」だけではなく、「速くなった開発をどう安全にするか」までAIの適用範囲を広げているのが、今回の発表の大きなポイントです。

Gemini 3.8 Flashとは？

Gemini 3.8 Flashは、Googleが「これまでで最も優れた推論およびコーディングモデル」と位置付ける新しいモデルです。

前世代にあたるGemini 3.7 Flashから、ソフトウェアエンジニアリング、エージェントタスク、専門領域における複数ステップの推論などで大幅な性能向上を実現したとGoogleは説明しています。

特に注目したいのが、長時間にわたる複雑な開発作業への対応です。

Googleは「DeepSWE v1.1」という長時間型のソフトウェアエンジニアリング評価において、Gemini 3.8 Flashが複雑なエンジニアリング問題をエンドツーエンドで自律的に解決する能力を示し、多くのより大規模なフロンティアモデルを上回ったとしています。

Gemini 3.8 Flashは、ソフトウェア開発に加えて、金融や法律などの専門領域、さらに高度な推論を必要とするタスクでも評価されています。

図3：Vals Finance Agent Benchmarkにおける評価結果。出典：Google

図4：Harvey’s Legal Agent Benchmarkにおける評価結果。出典：Google

図5：HLE-Verifiedにおける評価結果。出典：Google

‹ ›

ここで重要なのは、単発のコード生成だけを想定したモデルではないということです。

実際の開発では、「コードを書いて終わり」ではありません。仕様を理解し、実装し、エラーを確認し、必要に応じて修正し、再度テストするという反復作業が発生します。

Gemini 3.8 Flashは、このような複数ステップにまたがる開発タスクを、AIエージェントとして処理する方向に進化しています。

もちろん、AIに開発工程を丸ごと任せれば自動的に品質が上がるという話ではありません。生成されたコードのレビューやテスト、最終的な判断は人間が担う必要があります。

それでも、コードのたたき台を作ったり、複雑な問題を調査したり、実装方法を検討したりする作業をAIに任せられる範囲が広がれば、開発者が本来注力すべき設計や判断に時間を使いやすくなる可能性があります。

3.8 Flash Cyberは「脆弱性を探して直す」AI

今回の発表でもう一つ注目したいのが「Gemini 3.8 Flash Cyber」です。

こちらは一般的なコーディング支援を目的としたモデルではなく、サイバーセキュリティに特化しています。

Googleによると、Gemini 3.8 Flash Cyberは、脆弱性の検出と自動パッチ適用においてフロンティアモデル級の性能を発揮するとされています。

脆弱性の発見については、業界標準のベンチマークである「CyberGym」で評価され、Gemini 3.5 Flash Cyberや、より大規模なフロンティアモデルを上回る結果を示したとGoogleは説明しています。

さらに、C/C++だけではなく、20種類のプログラミング言語にまたがる複雑なコードベースを対象としたGoogle社内の評価でも、脆弱性発見の成功率が70%を超えたとされています。

そして、もう一つ重要なのが自動パッチ生成です。

AIによるセキュリティ対策というと、「怪しいコードを見つける」ことに目が向きがちです。しかし、脆弱性を発見した後には、「どう直すのか」という作業が待っています。

脆弱性を発見しても、修正方法を検討し、コードを書き換え、テストを行い、問題がないことを確認してからリリースしなければなりません。

Gemini 3.8 Flash Cyberは、この「発見」だけではなく「修正」にも重点を置いています。

Collinearが実施した外部ベンチマーク「CWE-Bench」では、Gemini 3.8 Flash CyberのPass@1は47.2%。先行するフロンティアモデルの47.8%と近い水準でありながら、より低いコストで利用できる点をGoogleは強調しています。

実際のセキュリティ現場でも利用

今回の発表が興味深いのは、ベンチマークだけで終わっていないことです。

Googleは、Gemini 3.8 Flash Cyberを実際のコードセキュリティに利用している事例も紹介しています。

たとえばChrome Securityチームでは、Chromeの脆弱性に対して、Gemini 3.8 Flash Cyberが大規模な商用モデルよりも2.6倍多く「正しいパッチ」を生成したとしています。

また、サイバーセキュリティ企業のWizによる社内ペネトレーションテストのベンチマークでは、他の主要なフロンティアモデルと比較して、より高いRecallを、2.3～5.2倍低いコストで実現したとGoogleは説明しています。

さらにGoogle Cloud Vulnerability Researchチームでは、Gemini 3.8 Flash Cyberを利用して、重大な基盤脆弱性を2時間以内に発見した事例も紹介されています。

Googleによれば、この種の脆弱性の調査や発見には通常数か月かかるケースもあるとのことです。

こうした事例を見ると、AIの役割が「開発者の質問に答えるチャットボット」から、「実際の開発・セキュリティ作業を一定範囲で自律的に進めるエージェント」へと広がっていることが分かります。

開発とセキュリティを別々に考えなくてよくなる？

今回のGemini 3.8シリーズを実務目線で見るなら、個人的に面白いのはここです。

これまでAIによる開発支援とセキュリティ対策は、比較的別々のツールとして考えられてきました。

たとえば、開発者はAIを使ってコードを書き、別のツールで静的解析や脆弱性診断を行う、といった構成です。

もちろん今後も専門ツールは重要ですが、Gemini 3.8 FlashとGemini 3.8 Flash Cyberの登場によって、AIを開発工程とセキュリティ工程の両方に組み込むという考え方が、より現実的になってきます。

たとえば新機能の開発では、Gemini 3.8 Flashをコード生成やエンジニアリングタスク、複雑な問題の調査などに活用する。

そしてセキュリティ面では、Gemini 3.8 Flash Cyberを使って脆弱性の発見や修正案、パッチ生成を支援する。

このように役割を分けることで、開発スピードを維持しながら、セキュリティチェックの負担を減らしていくという活用方法が考えられます。

ただし、ここは注意が必要です。

Googleが「3.8 Flashで開発し、その裏側で3.8 Flash Cyberが自動的にセキュリティチェックを行う」という一体型の開発環境を発表したわけではありません。

あくまで今回発表された2つのモデルの能力を踏まえた、実務上の活用イメージです。

実際の導入では、既存の開発環境やCI/CD、脆弱性診断ツールなどとの連携方法を検討する必要があります。

Google AI Pro・Ultraでも利用可能

Gemini 3.8 Flashは、開発者向けAPIだけに閉じたモデルではありません。

Googleによると、Google AI ProおよびUltraの登録ユーザーは、Geminiアプリ、Google検索のAI Mode、GoogleスプレッドシートのGeminiで3.8 Flashを利用できます。

つまり、開発者だけでなく、日常的にGoogleのAIサービスを利用しているユーザーにも、3.8 Flashの性能が広がっていくことになります。

一方、価格については少し注意が必要です。

Googleが「2026年12月31日まで」としているのは、Google AI ProやUltraの利用料金ではありません。

Gemini 3.8 FlashのAPIに設定された初期提供価格についての話です。2026年12月31日までは、入力100万トークンあたり0.75ドル、出力100万トークンあたり3.75ドル。2027年1月1日からは、それぞれ1.50ドル、7.50ドルになるとGoogleは案内しています。

そのため、企業がAPIを利用して独自の開発環境やAIエージェントを構築する場合には、現在の価格だけでなく、2027年以降のコストも含めて検討する必要があります。

「速く作る」から「速く、安全に作る」へ

生成AIの進化によって、ソフトウェア開発のスピードはすでに大きく変わり始めています。

コードの生成、テストコードの作成、エラーの調査、ドキュメント作成など、これまで人間が時間をかけていた作業の一部をAIに任せられるようになりました。

しかし、開発スピードが上がるほど、別の問題も出てきます。

「AIが生成したコードに問題はないのか」「脆弱性を見落としていないか」「修正したことで別の不具合が発生していないか」といった確認作業です。

AIによって開発そのものが速くなれば、こうした確認作業も同じように効率化しなければ、開発全体のボトルネックになってしまいます。

その意味で、Gemini 3.8 FlashとGemini 3.8 Flash Cyberをセットで見ると、今回の発表には一つの方向性が見えてきます。

「AIで開発を速くする」だけではなく、「AIで開発とセキュリティの両方をスケールさせる」という方向です。

もちろん、AIが生成したコードやパッチを無条件に本番環境へ投入するべきではありません。人間によるレビューやテスト、承認プロセスは引き続き重要です。

それでも、脆弱性を探す、修正方法を考える、パッチを生成する、といった工程までAIが支援できるようになれば、セキュリティ担当者や開発者が本来注力すべき判断に時間を使いやすくなります。

企業が注目すべきは「モデル性能」だけではない

Gemini 3.8 Flashの発表を見て、「またAIモデルの性能が上がったのか」と受け止めるだけでは少しもったいないかもしれません。

今回の発表で重要なのは、モデルのベンチマークスコアだけではありません。

複雑な開発タスクを自律的に処理するGemini 3.8 Flashと、脆弱性の発見やパッチ生成に特化したGemini 3.8 Flash Cyber。

この2つが登場したことで、AIを「作業を補助するツール」として使うだけでなく、開発プロセスそのものに組み込んでいく方向がより明確になりました。

今後、企業がAI活用を進める際には、「どのモデルが一番賢いか」だけを見るのではなく、どの工程をAIに任せ、どこを人間が判断し、どこにセキュリティチェックを組み込むのかという業務設計がより重要になりそうです。

AIによって開発スピードが上がること自体は、大きなメリットです。

しかし、本当に価値があるのは、単に速く作れるようになることではありません。

設計、実装、テスト、脆弱性の発見、修正、レビューといった一連のプロセスをAIによって効率化しながら、最終的な品質と安全性をどう担保するか。

Gemini 3.8 FlashとGemini 3.8 Flash Cyberは、これからのAI活用を考えるうえで、そんな「開発とセキュリティを一体で考える」方向性を示すアップデートと言えそうです。

まとめ

今回のGemini 3.8シリーズで押さえておきたいポイントを整理すると、以下の通りです。

• Gemini 3.8 Flashは、3.7 Flashからソフトウェアエンジニアリングやエージェントタスク、複数ステップの推論などが大きく進化。
• Gemini 3.8 Flash Cyberは、脆弱性の自律的な発見や自動パッチ生成に特化。
• ChromeやGoogle Cloud Vulnerability Researchなど、実際のセキュリティ現場での利用事例も紹介されている。
• Google AI Pro・Ultraユーザーは、GeminiアプリやGoogle検索のAI Mode、GoogleスプレッドシートのGeminiで3.8 Flashを利用可能。
• 2026年12月31日までの初期提供価格は、AI Pro・Ultraの料金ではなく、Gemini 3.8 Flash APIの価格。
• 企業での活用では、AIに任せる作業と人間が判断する工程を明確に分けることが重要。

これからのAI活用では、「AIに何をやらせるか」だけでなく、「AIが作ったものをどう安全に運用するか」まで考える必要があります。

開発スピードとセキュリティを別々の課題として扱うのではなく、AIによって両方を効率化する。

Gemini 3.8 FlashとGemini 3.8 Flash Cyberは、その方向性を考えるうえで非常に興味深いアップデートです。

※本記事はGoogleが2026年9月2日に公開した公式発表をもとに、実務での活用可能性を整理したものです。AIによるコード生成・脆弱性検出・パッチ生成の結果は、利用環境や対象コードによって異なるため、実際の導入時には人によるレビューやテスト、既存のセキュリティプロセスとの組み合わせが必要です。