Gemini 4 Argon：输出上限提到 100 万 token，先给可信防御者

9 月 30 日，Google 发布 Gemini 4 Argon，定位是面向真实软件工程、企业知识工作（法务与金融）以及网络安全防御的前沿模型，署名人之一是 Google DeepMind 高级副总裁兼 Google 首席 AI 架构师 Koray Kavukcuoglu。它最直观的变化在输出侧：上限从 64K 提升到 100 万 token，官方称这是业界最高。发布方式也不是一次放开，而是先向 Fairwind 计划的受信网络防御者开放，再分阶段放量。

输出一百万 token，意味着什么

输入窗口和输出上限是两件事。输入长，说明模型能一次「读」进更多资料；输出长，说明它能一次「写」出更多内容，其中也包括推理过程本身。对长程任务来说，瓶颈经常在输出侧：一次只能吐 64K，就意味着几百步的排查、重构或者分析必须在多次调用之间切开，中间结果被反复搬运，既容易丢线索，也把上下文成本推高。官方特别提到，当模型有余量在一次轨迹里生成几十万 token 时，它能一口气把难题解到更深处。

评测成绩与 Google 内部用例

多模态能力是把这些工作流接起来的关键一环。官方说，当知识工作涉及视觉理解时，Argon 尤其强：它能做专业的图表分析、从长视频里认出细节，也能根据一系列文档采取行动。这也是它能在法务、金融这类「文档密集、又要看图表」的场景里排名靠前的原因之一——基准之外，真正的工作通常不是单轮问答，而是一串材料、一次分析、一份要交出去的东西。

官方公布的成绩里，最受关注的是 DeepSWE v1.1 的 77.9%，这是一个衡量真实长程软件工程任务的基准，Google 称其刷新了 SOTA；此外它在衡量经济影响的 Vals Index 上排名第一，在 Vals Finance Agent v2（多步金融研究）与 Harvey 的法律 Agent 基准上领先，在 Zapier 的 AutomationBench 上以 51.3% 排名第一。视觉理解方面，长视频理解的 LVBench 取得 91.7% 的 SOTA，漏洞修复的 CWE-bench v1 拿到 68%，并列第一。

Google 内部的使用场景说明了长输出的实际价值。量子计算研究里，Argon 被用来优化子程序的时空资源（量子比特数乘门数），在一个例子上几分钟就超过已发表的基线 40%；一个由 Argon 组成的团队分析了全集群的性能剖析遥测数据，自行找出并应用内存优化，铺开后释放出超过 300 TiB 内存，官方估计总节省可达 500 TiB 到 1 PiB。更有代表性的是 C 与 C++ 到 Rust 的大规模迁移：从 re2、libgav1 这类核心库的几万行，一直到 Fuchsia Zircon 内核的 80 万行以上。

libgav1 这个例子值得单独说：Argon 接手已有的 Rust 移植版本，替换掉 3.2 万行 SIMD 代码，做法是反复做基于剖析的实验、研究编译器输出，并写出安全的 Rust 让编译器自动向量化。最终得到一个内存安全的视频解码器，比此前的 Rust 移植快 2.7 倍，视频输出完全一致，也更接近优化过的 C++ 版本。不过官方强调，这类重写要经过严格的自动与人工审计、模拟测试和评审后才会进入生产环境。

网络安全：先给防御者

Argon 在网络安全方向被训练成能自主发现、验证并修补关键软件漏洞。对受信防御者以及 Google 内部团队，官方表示这次会以不带网络安全防护限制的方式提供，好让他们用满它的防御能力。早期落地的一个例子来自 Wiz 的 Scan for Good 计划——该项目免费为关键公共基础设施寻找并修复高风险暴露；Argon 在其中发现了一个暴露敏感个人信息的医疗软件关键漏洞，这些软件被世界各地医院使用，而此前的前沿模型都没有发现它。

更多细节也指向同一个方向：在 Google 内部一个覆盖 20 种编程语言的综合漏洞基准上，Argon 在复杂代码库里找出了范围很广的暴露面；在 Wiz 内部的黑盒渗透测试基准上（不给源码、直接分析真实运行的网站），它在发现攻击面、识别漏洞以及产出可验证的概念验证证据这三件事上都优于 3.8 Flash Cyber。漏洞修复的 CWE-bench v1 里它拿到 68%、并列第一，这一成绩建立在 3.8 Flash Cyber 于 v0 上的表现之上。

分级发布与四道防线

发布节奏上，Google 表示正在参与美国政府关于模型发布前访问的自愿流程，并在逐步扩大访问范围的同时继续收集早期测试者的反馈、迭代护栏，之后会尽快向开发者、企业和消费者开放。可用顺序是先从付费 API 客户与 Google AI Ultra 订阅者开始。价格方面，尝鲜期是每百万输入 2 美元、输出 10 美元，缓存输入按输入价的 95% 折扣计费；尝鲜期结束后恢复为输入 4 美元、输出 20 美元。按事实清单，10 月 13 日起它已全球开放，入口包括 API、AI Studio、Gemini app、Search 的 AI 模式与 Antigravity。

在放开之前，Google 说他们要在四个方向上继续加固前沿防护。第一是防滥用：为阻止将 Argon 用于网络攻击以及化学、生物、放射与核（CBRN）攻击，模型被设计成拒绝有害请求，同时保留合法且具备双重用途的科研空间；这一轮还加强了监测模型内部激活的技术，并由内外红队用手动与自动化方法做稳健性测试。

第二是防提示注入。Argon 是 Google 目前对间接提示注入最稳健的模型——这类攻击会把恶意指令藏在模型读到内容里，用来劫持它的行为，防御需要多层拦截与长期盯防。通过自动化红队与对抗训练，Google 称 Argon 在 Gray Swan 的间接提示注入基准上处于领先。

第三是监测「行为偏离」：为了防止 Argon 为了完成任务而采取超出用户意图的做法，Google 部署了对它的思维链与动作进行监控、必要时中止执行的机制。类似的系统也被用来监控训练过程并向专门的应急响应团队告警，同时谨慎避免把监测结果回灌进训练，以免模型的推理朝规避监控的方向演化；Google 还呼吁业界在能力快速提升的阶段保留推理透明度。第四是系统加固：按「Agent 控制路线图」，高风险训练或评测开始前先把沙箱环境隔离并封闭起来，并把相关的最佳实践分享给合作伙伴。

把这些放在一起看：输出长度决定模型能不能「长跑」，而在网络安全这类高风险领域先给受信防御者、再向公众分阶段开放，正在成为前沿模型上线的新常态。Google 的说法是，Argon 用真实防御者与受信测试者的评测反馈来加固系统，之后再面向开发者、企业和消费者放开。能力与准入同时被设计，这是这次发布最值得记的一笔。