Googles Gemini 4 Argon erreicht zuerst vertrauenswürdige Cyber-Verteidiger, mit 1 Million Token Ausgabelimit

Google hat Gemini 4 Argon am 30. September 2026 angekündigt, ein Frontier-Modell, das das Unternehmen nach eigenen Angaben zunächst an eine Reihe vertrauenswürdiger Cyber-Verteidiger ausrollt, und zwar über sein Fairwind-Programm. Es ist kein allgemeiner Start. Google will nach eigenen Angaben Feedback von frühen Testern sammeln, bevor Argon breit für Entwickler, Unternehmen und Verbraucher verfügbar wird, beginnend mit zahlenden API-Kunden und Abonnenten von Google AI Ultra.

Zum Weiterlesen: OpenAI verlegt das Frontier-Training vom offenen Internet auf eine zwischengespeicherte Kopie des Webs · Anthropic trennt seine internen Evaluationen vom Live-Internet, nachdem seine Agenten die Regeln gebrochen haben.

Die Zugangsbeschränkung ist der Kern der Ankündigung. Frontier-Modelle erscheinen meist als Benchmark-Tabelle plus offene API, und jeder mit einem Abrechnungskonto kann sie am selben Tag nutzen. Argon geht zuerst an eine geprüfte Gruppe und für einige dieser Nutzer mit entfernten Cyber-Beschränkungen. Der Rest von Googles zahlenden Kunden wartet auf ein Modell, das das Unternehmen sein fähigstes nennt.

Ein gestaffelter Start, zuerst mit Regierungsprüfung

Google erklärt, es sei „aktiv am freiwilligen Verfahren der US-Regierung für Zugang zu Modellen vor der Veröffentlichung beteiligt“, jener Regelung, unter der Bundesbehörden ein Modell prüfen, bevor es den allgemeinen Markt erreicht. Die Ankündigung nennt die beteiligten Behörden nicht und gibt keinen Zeitplan für die Prüfung an.

TechStartups berichtete am 1. Oktober, der erste Rollout sei auf Cybersicherheits-Verteidiger im Fairwind-Programm beschränkt. Security Affairs beschrieb den Start ebenso, als Modell, das Google zunächst auf der eigenen Infrastruktur testet, bevor es öffentlich wird.

Die Preisgestaltung signalisiert dieselbe Vorsicht. In der Einführungsphase listet Google Argon mit 2 Dollar pro Million Eingabe-Token und 10 Dollar pro Million Ausgabe-Token, wobei zwischengespeicherte Eingaben 95 Prozent günstiger sind. Nach der Einführungsphase verdoppeln sich die Sätze auf 4 und 20 Dollar. Das ist ein Rabatt für frühe Nutzer, die in der Praxis zugleich Tester sind.

Das Ausgabelimit ist die Schlagzeile

Google gibt Argons Ausgabe-Token-Limit mit 1 Million an, nach zuvor 64.000. Das Unternehmen nennt die Zahl „branchenführend“ und erklärt, sie erlaube dem Modell, „Hunderttausende Token in einer einzigen Trajektorie zu erzeugen“, heißt es im Blogbeitrag.

Ausgabelänge ist eine andere Beschränkung als Kontextlänge, und beide sind leicht zu verwechseln. Ein Modell kann eine sehr große Eingabe annehmen und trotzdem nach einer kurzen Antwort stoppen; das Kontextfenster bestimmt, was hineingeht, das Ausgabelimit bestimmt, was in einem Durchgang herauskommt. Eine höhere Obergrenze verändert, was eine einzelne Generierung fertigstellen kann: eine lange Quelldatei, ein Refactoring über mehrere Dateien, einen Bericht, der sonst aus einem Dutzend separater Aufrufe zusammengesetzt würde.

Das ist wichtig für die agentischen Arbeitslasten, auf die Google zielt. Ein Agent, der eine lange Softwaremigration durchführt oder Forschung über viele Dokumente zusammenstellt, verbraucht einen großen Teil seines Budgets damit, den Kontext neu herzustellen, wenn eine Aufgabe zerstückelt werden muss. Ein größeres Ausgabelimit verringert die Zahl dieser Brüche. Die offene Frage ist, ob die zusätzliche Länge zusammenhängend bleibt. Lange Generierungen neigen dazu, von der ursprünglichen Anweisung abzudriften, und Google hat keine unabhängige Messung der Qualität über eine volle Million-Token-Antwort veröffentlicht.

„Hunderttausende Token in einer einzigen Trajektorie erzeugen“

Die Formulierung stammt aus Googles Ankündigung vom 30. September, die keine unabhängige Bewertung darüber enthält, wie konsequent eine einzelne lange Generierung ihren Faden hält.

Was Googles Benchmark-Tabelle behauptet

Googles Benchmark-Liste führt mit DeepSWE v1.1 bei 77,9 Prozent, was nach Angaben des Unternehmens dem Stand der Technik bei realer, langfristiger Softwareentwicklung entspricht. Bei CWE-bench v1, das die Behebung von Schwachstellen testet, erreicht Argon laut Google mit 68 Prozent den geteilten ersten Platz und baut auf dem früheren Modell 3.8 Flash Cyber auf.

Das Unternehmen erklärt außerdem, Argon führe den Vals Index an, ein BIP-gewichtetes Maß für wirtschaftliche Wirkung in Finanzen, Programmierung, Recht und Steuerarbeit, und schneide bei Vals Finance Agent v2 und Harveys Legal Agent Benchmark stark ab. Bei AutomationBench, entwickelt von Zapier, meldet Google mit 51,3 Prozent den ersten Platz für End-to-End-Ausführung über Geschäftsfunktionen. Beim Verständnis langer Videos verweist es auf eine Spitzenleistung bei LVBench von 91,7 Prozent. Beim Gray Swan Indirect Prompt Injection Benchmark nennt Google Argon sein bislang widerstandsfähigstes Modell und führend bei der Abwehr von Prompt-Injection.

Jede dieser Zahlen stammt von Google selbst. Das Unternehmen hat sie ohne unabhängige Wiederholung veröffentlicht, und weil der Zugang beschränkt ist, können externe Labore sie noch nicht überprüfen. Das Muster ist aus jüngeren Frontier-Veröffentlichungen vertraut, und die Unterscheidung bleibt bestehen: Ein Anbieter-Benchmark belegt, was der Anbieter gemessen hat, nicht, was ein unabhängiger Prüfer feststellen würde.

Vier Ergebnisse aus dem Inneren von Google

Der konkreteste Teil der Ankündigung ist eine Liste von Aufgaben, die Argon nach Angaben von Google intern bereits erledigt hat.

• Quantenoptimierung. Google erklärt, Argon habe die veröffentlichte Vergleichsbasis bei den Raumzeit-Ressourcen (Qubits multipliziert mit Gattern) „in Minuten“ um 40 Prozent übertroffen.
• Speicherrückgewinnung. Ein Team von Argon-Agenten analysierte flottenweite Profiling-Telemetrie und setzte mehr als 300 TiB Speicher frei, nachdem der Fix ausgerollt war, wobei Google die Gesamteinsparung auf 500 TiB bis 1 PiB schätzt.
• Große Rust-Migrationen. Google zufolge arbeitete Argon an re2 und libgav1 sowie am Fuchsia-Zircon-Kernel, bis zu über 800.000 Zeilen, unter automatischer und manueller Prüfung. Bei libgav1 hätten Argons Agenten 32.000 Zeilen SIMD-Code durch einen speichersicheren Decoder ersetzt, der „2,7-mal schneller läuft als der Rust-Port, mit identischer Videoausgabe“.
• Schwachstellenarbeit. Google erklärt, Argon sei darauf trainiert, kritische Softwareschwachstellen autonom zu finden, zu validieren und zu patchen, eine Fähigkeit, die das Unternehmen als zentral für den Fairwind-Start bezeichnet.

Diese Ergebnisse werden am ehesten zitiert, und sie haben eine besondere Einschränkung. Es sind selbst gemeldete Produktionsanekdoten, keine peer-reviewten Messungen. Google erwähnt eine Prüfung für die Rust-Arbeit, beschreibt aber keine externe Überprüfung der Speichereinsparungen oder des Quantenergebnisses. Eine Verbesserung um 40 Prozent gegenüber einer veröffentlichten Vergleichsbasis ist eine starke Behauptung; sie stützt sich vorerst auf Googles eigenen Bericht.

Wo die Cyber-Leitplanken wegfallen

Die folgenreichste Zeile der Ankündigung betrifft das, was Google nicht tut. Für vertrauenswürdige Verteidiger und Googles interne Teams erklärt Google, Argon ohne Cyber-Leitplanken zu veröffentlichen.

Der genannte Grund ist, dass Leitplanken genau die Arbeit einschränken, die Verteidiger brauchen. Google verweist auf Wiz, das Cloud-Sicherheitsunternehmen, das Argon laut Google bereits über seine Initiative Scan for Good nutzt, ein Programm, das kritische öffentliche Infrastruktur kostenlos schützt. Google zufolge deckte Argon eine kritische Schwachstelle in Gesundheitssoftware auf, die weltweit von Krankenhäusern genutzt wird, und nannte sie „ein schweres Risiko, das frühere Frontier-Modelle übersehen hatten“. Bei Wiz' internem Black-Box-Penetrationstest, der ohne Zugriff auf den Quellcode läuft, übertrifft Argon laut Google 3.8 Flash Cyber beim Kartieren der Angriffsfläche, beim Identifizieren von Schwachstellen und beim Erstellen von Proof-of-Concept-Belegen.

Die Fähigkeit, die den Fehler eines Krankenhauses findet, kann einen Fehler überall sonst finden, und dasselbe Modell, das einen Patch schreibt, kann einen Exploit beschreiben. Googles Antwort lautet, dass die ungezügelte Version nur an geprüfte Verteidiger geht und der Rest des Stapels die Überwachung trägt. Ob diese Grenze hält, ist ebenso eine politische wie eine technische Frage, und sie ist der Teil der Veröffentlichung, der am ehesten für Prüfung sorgen wird.

Die Schutzmaßnahmen, die Google beschreibt

Google listet die Schutzvorkehrungen auf, die es um Argon gebaut hat: die Ablehnung schädlicher Cyber- und CBRN-Anfragen unter Wahrung der Dual-Use-Forschung; die Überwachung der internen Aktivierungen des Modells, um Missbrauch zu erkennen; automatisiertes Red-Teaming und adversariales Training gegen indirekte Prompt-Injection; Maßnahmen gegen Fehlausrichtung, die Argons Gedankenkette und Handlungen überwachen und die Ausführung bei Bedarf stoppen; ein ähnliches Überwachungssystem für Trainingsläufe; und gehärtete, abgeschottete Sandbox-Umgebungen vor risikoreichem Training und risikoreicher Evaluierung.

Die Überwachung der Gedankenkette ist der bemerkenswerteste Punkt. Sie bedeutet, dass Google die eigene Argumentation des Modells auf Anzeichen von Absicht beobachtet, zusätzlich zu den Anfragen, die es erhält. Das ist eine Verschiebung vom Filtern von Ein- und Ausgaben hin zur Inspektion des dazwischenliegenden Prozesses. Google sagt nicht, wie oft die Monitore einen Lauf gestoppt haben oder was sie mit einem Verteidiger tun würden, dessen legitime Arbeit wie ein Angriff aussieht.

Was externe Berichterstattung ergänzt

Bloomberg berichtete, zusammengefasst von AI Weekly am 2. Oktober, dass einige Google-Mitarbeiter privat an Argons realer Programmierfähigkeit zweifeln, während das Management es als Frontier-Klasse bezeichnet. Der Bericht bleibt in den Details vage, und Google hat öffentlich nicht darauf geantwortet. Weil der Zugang beschränkt ist, lässt sich der Zweifel weder in die eine noch in die andere Richtung klären.

CNBC rahmte den Start am 1. Oktober anders. Der Sender beobachtete, dass die Wall Street einen durchschlagenden persönlichen Agenten von Google will. In dieser Lesart gilt das Marktinteresse weniger einem Benchmark-Spitzenmodell als einem Verbraucherprodukt, das verändert, wie Menschen Googles Dienste nutzen. Argons erstes Publikum, Cyber-Verteidiger, ist so weit von einem Verbraucher-Agenten entfernt, wie es die Produktpalette des Unternehmens zulässt, was nahelegt, dass der kurzfristige kommerzielle Nutzen nicht der Sinn dieser Veröffentlichung ist.

Einschränkungen

• Die Benchmarks stammen von Google. Keiner wurde unabhängig wiederholt, und keiner kann es werden, solange der Zugang nicht breiter ist.
• Die internen Ergebnisse sind Anekdoten. Die Quanten-, Speicher- und Rust-Zahlen kommen aus Googles eigenen Teams und wurden extern nicht geprüft.
• Unabhängige Tests sind konstruktionsbedingt begrenzt. Ein beschränkter Rollout hindert externe Forscher kurzfristig daran, die Programmier- und Sicherheitsbehauptungen zu überprüfen.
• „Ohne Cyber-Leitplanken“ ist begrenzt. Google richtet diese Aufhebung an vertrauenswürdige Verteidiger und interne Teams, nicht an allgemeine Nutzer. Das Unternehmen hat die Kriterien nicht veröffentlicht, mit denen es einen Verteidiger qualifiziert.
• Die Ausgabeobergrenze ist ein Maximum, keine Qualitätsgarantie. Ein Limit von 1 Million Token sagt, wie viel Argon ausgeben kann, nicht, wie gut eine so lange Generierung zusammenhält.

Wettbewerb an einer überfüllten Frontier

Google positioniert Argon gegen OpenAI GPT-6 Astra und Anthropics Claude Opus 5.5, wie die KI-Presse über den Start berichtete. Alle drei beanspruchen Spitzenergebnisse bei überlappenden Benchmarks, was einen unabhängigen Vergleich erschwert statt erleichtert, wenn der Zugang ungleich ist.

Die näher liegende Frage ist, was die Fairwind-Tester berichten. Wenn Verteidiger konkrete Ergebnisse aus echten Vorfällen veröffentlichen, wandern Argons Cyber-Behauptungen von der Anbieterseite in einen Bericht, den andere prüfen können. Bleibt das Feedback privat, bleibt der Rollout vorerst ein Versprechen über ein Modell, das die meisten Menschen nicht nutzen können.

Titelbild: Eine Google Tensor Processing Unit. Foto von Zinskauf via Wikimedia Commons, CC BY-SA 4.0.