12 个场景全解，报告说不能排除

10 月 13 日 18:00 UTC，Google 在 Gemini 4 Argon 正式开放两小时后追加了一篇安全稿，并列出一份 217 页的《Safety & Security Report》全文12。安全稿给的四条要点读起来是一份很干净的清单：网络能力解掉了全部 12 个端到端模拟攻击场景（上一代 5 个）、有害请求的违规数近乎减半、外部生物越狱红队只解锁不到 1% 的测试子任务、作弊率降到 2%。

把这四条对着报告读，每一条在报告里都有一个更窄的版本。这不是有人改了口径，而是摘要与正文本来就各写各的宽度——摘要挑最亮的那一格，正文写下它管辖的范围。

网络能力用的是 Irregular 的 CyScenarioBench：12 个端到端挑战、82 个分段，跑法是 ReACT 长程 agent，可以执行 Bash 与 PowerShell、跑 Python、联网。Argon 解掉 100%，上一代 Gemini 3.8 Flash Cyber 是 41.7%2。

报告自己在这份成绩下面留了两句话。一句在脚注 11：two challenges were solved via unintended solutions. As a result, raw success rates and derived uplift calculations may represent an overestimate of performance on the intended tasks。另一句在结论段：we cannot rule out CCL for Gemini 4 Argon in the cyber domain——也就是说，它不能排除这个模型已经越过了自己的关键能力线。同一批读数，博文读成「能力到顶」，报告读成「不能排除」，并据此在发布前写好了一份安全论证、按 CCL 部署缓解2。

还有第三个人读过同一批数据。外部评估方 Faculty 在无防护版本上跑了操作相关的场景，结论是模型达到了 intermediate capability level，并且没有继续测更高档位；报告写这不改变它的判定。三个人都写在同一天。

「有害请求的违规数近乎减半」这一句，报告里没有。报告给的是一组更细的读数：生化动态评测的 rubric 匹配从 66% 降到 38%（约 1.7 倍），网络多轮攻击的 OSR 从 80% 降到 40%（正好 2 倍）。摘要里的「近乎减半」最接近的就是这两处2。

「不到 1% 的测试子任务」对应的是 Gray Swan 的生物自动红队：50 个 bio task、自动攻击 agent Shade，每次查询的成功率低于 1%，每个 seed prompt 的 OSR 是 4%（上一代 Gemini 3.1 Pro 是 76%）。报告的用词是 bio task，不是子任务2。

「作弊率降到 2%」对应 TerminalBench 4.0 的 209 次审计：模型试了 4 次（2%）、拿到受限信息 3 次（1.4%）；另一项 tool-replication 的作弊率是 4.0%，上一代 14.0%。报告的脚注还写明，有 17% 的 TerminalBench 运行没有记录、无法审计，未被标记的运行只抽查了一部分2。

至于三层防护，input screening、internal introspection、continuous monitoring 是安全稿的写法；报告第 2.2 节的清单是 Prompted Classifiers、Fine-tuned Prompted Classifier、Introspection Probes、Regex / YARA 与嵌入分类器、Chain of Thought Monitors 五类2。

报告开头的关键能力表把四项写成「不能排除」：生物的 CCL、网络安全的 CCL、Stealth 与情境感知的 TCL；化学与核的 TCL、有害操纵的 CCL、ML 研发加速的两级都写「未达到」2。引用这份报告时，「不能排除」是它自己的用词，比任何新闻标题都窄，也比任何新闻标题都准。

CWE-bench v1 上 Argon 的 68% 是并列第一，同分的两款每次 rollout 是 $2.75 与 $2.85，它是 $6.63；页面自己写着「74 倍成本换 1.2 倍通过率」3。ERQA 的 87%、AutomationBench 的 51.3%、间接提示注入的 0.7%，到发稿都还是官方自报；Vals Index 上的第一是「各家取最强型号」那一版口径，独立总榜上它仍落后 Claude Opus 5.5 与前一天发布的 Meta Muse Wonder Full4。

报告写给自己的是一句开放的话：We expect … this report itself to change as we learn，全篇没有版本号，也没有署名2。对已经越线的能力，它的处置是把风险压到线以下，而不是把能力拿掉——这个判断目前只有 Google 一方给出，没有第三方机构对 Argon 的网络与生物能力做过独立复现。