Le 21 juillet 2026, Google a annoncé trois modèles Gemini d’un coup. La presse tech a immédiatement retenu les deux premiers : Gemini 3.6 Flash, le cheval de bataille polyvalent, et Gemini 3.5 Flash-Lite, la version rapide et bon marché. Benchmarks, tarifs, débit — tout le monde a commenté.
Le troisième est passé presque inaperçu. Il s’appelle Gemini 3.5 Flash Cyber, il est conçu pour « trouver et corriger les vulnérabilités de cybersécurité », et vous ne pourrez pas l’utiliser.
Pas parce qu’il est cher. Parce qu’il n’est pas pour vous. Google le réserve « aux gouvernements et partenaires de confiance », via son outil CodeMender, sous un accès pilote restreint. Si vous gérez une boutique PrestaShop ou un site WordPress, vous n’êtes ni l’un ni l’autre.
C’est cette phrase, glissée en fin d’annonce, qui mérite qu’on s’arrête. Parce qu’elle dessine une fracture dont votre boutique va ressentir les effets bien avant que vous n’entendiez parler des benchmarks de Flash 3.6.
Ce qui a été annoncé, en clair
Reprenons les faits, sans le vernis marketing.
Gemini 3.6 Flash est le nouveau modèle généraliste. Google annonce 17 % de tokens de sortie en moins que la version 3.5 à qualité égale, et des gains sur les tâches de code (49 % contre 37 % sur le benchmark DeepSWE). Tarif : 1,50 $ le million de tokens en entrée, 7,50 $ en sortie. Disponible immédiatement pour tout le monde via l’API.
Gemini 3.5 Flash-Lite est la version économique et rapide : 350 tokens par seconde, à 0,30 $ / 2,50 $ le million. C’est le modèle qu’on branche sur un chatbot ou une automatisation à fort volume. Disponible pour tout le monde, lui aussi.
Gemini 3.5 Flash Cyber, en revanche, est un modèle spécialisé dans la sécurité offensive et défensive : repérer les failles dans du code, et les corriger automatiquement via CodeMender, l’agent de remédiation de Google. Accès limité. Gouvernements et partenaires triés sur le volet.
Deux modèles ouverts, un modèle fermé. Et le modèle fermé est justement celui qui touche à la sécurité.
Pourquoi Google verrouille — et pourquoi c’est défendable
Soyons honnêtes : la décision de Google se comprend.
Un modèle capable de trouver automatiquement des vulnérabilités dans n’importe quel code est une arme à double tranchant. La même IA qui répare une faille sait, par construction, la trouver. Mettre cette capacité en accès libre reviendrait à distribuer un scanner de failles industriel à quiconque veut pirater, à l’échelle et à un coût quasi nul.
Google a déjà été confronté à cette tension. Ses équipes de sécurité ont utilisé l’IA pour découvrir de vraies vulnérabilités dans des logiciels très répandus — du bon travail défensif. Mais un outil qui trouve des failles pour les colmater est le même outil qui les trouve pour les exploiter. La seule différence est l’intention de celui qui appuie sur le bouton.
Restreindre Flash Cyber aux États et aux grands partenaires, c’est donc une décision de sécurité rationnelle. On ne peut pas reprocher à Google de ne pas vouloir armer les attaquants.
Le problème n’est pas là. Le problème est que cette prudence ne protège que d’un côté.
La fracture que personne ne nomme
Voici la question que les commentaires sur les benchmarks évitent soigneusement.
Google peut verrouiller Flash Cyber. Il ne peut pas verrouiller la capacité. Trouver des vulnérabilités par IA n’est pas un secret que Google détiendrait seul : c’est une technique désormais banale, reproductible avec des modèles ouverts, des versions débridées, ou simplement en détournant des modèles généralistes de leur usage prévu. Un attaquant motivé n’a pas besoin de l’autorisation de Google.
Résultat : la capacité offensive circule librement, tandis que la capacité défensive de pointe est, elle, sous clé.
L’attaquant qui veut sonder votre boutique dispose d’une IA pour le faire. Le marchand qui veut se défendre avec le même niveau d’outillage, lui, se voit répondre qu’il n’est pas un « partenaire de confiance ». La technologie qui pourrait égaliser le rapport de force est distribuée de façon asymétrique — et l’asymétrie joue contre le petit.
Ce n’est pas une théorie du complot. C’est la conséquence mécanique d’une décision par ailleurs raisonnable. Google protège l’écosystème du risque de masse, et ce faisant, laisse le petit commerçant exactement là où il était : sans accès à l’arme défensive, mais parfaitement à portée de l’arme offensive.
Ce que ça change concrètement pour votre boutique
Passons du constat à ce que vous, gérant d’un PrestaShop ou d’un WordPress, devez en retenir.
Premièrement, n’attendez aucune cavalerie. L’idée qu’une IA de sécurité surpuissante viendra bientôt protéger tout le monde vient de prendre un coup. Le modèle qui s’en approche existe — et il ne sera pas dans votre back-office. Votre sécurité reste votre affaire, avec les moyens accessibles à tous.
Deuxièmement, la barre monte du côté des attaques. Les campagnes automatisées qui scannent les boutiques à la recherche de modules vulnérables ne vont pas ralentir : elles vont gagner en précision. Un module tiers avec une faille non corrigée, un thème abandonné, une version de PrestaShop en retard de deux correctifs — ce sont exactement les cibles qu’une reconnaissance assistée par IA repère le plus vite.
Troisièmement, les fondamentaux redeviennent votre meilleur bouclier, précisément parce que le high-tech défensif vous est fermé. Rien de spectaculaire, mais rien d’optionnel :
- Mettre à jour vite, surtout les modules tiers, qui sont le vecteur d’entrée numéro un.
- Retirer ce qui ne sert plus. Un module désactivé mais toujours installé reste une surface d’attaque.
- Surveiller ce qui tourne réellement sur votre boutique — fichiers comme base de données.
- Garder des sauvegardes hors-ligne testées, la seule assurance qui fonctionne quand tout le reste a échoué.
La sécurité accessible n’est pas glamour. Mais c’est précisément parce que l’arme défensive de pointe est réservée aux États que ces gestes de base reprennent toute leur valeur. Un attaquant outillé à l’IA cherche la porte ouverte, pas le mur blindé. Votre travail est de ne pas être la porte ouverte.
À ce titre, un scanner de sécurité PrestaShop qui inspecte vos fichiers et votre base de données à intervalle régulier relève exactement de cette hygiène accessible : il ne rivalise pas avec Flash Cyber, il fait le travail que Flash Cyber ne fera jamais pour vous — repérer ce qui a déjà changé sur votre propre boutique.
Le vrai enseignement de cette annonce
On retiendra Gemini 3.6 Flash pour ses tarifs et sa vitesse. On l’intégrera dans des chatbots, des outils de génération de contenu, des automatisations. Très bien.
Mais l’information qui compte pour la sécurité du web n’est pas dans les deux modèles ouverts. Elle est dans le troisième, celui qu’on vous refuse. Le message implicite de Google est clair : la sécurité assistée par IA de plus haut niveau est désormais un bien stratégique, réservé, régulé — pas un service grand public.
Pour tous les autres, la sécurité restera ce qu’elle a toujours été : une discipline, pas un bouton magique. Cette annonce ne l’a pas rendue plus facile. Elle a juste rendu la fracture plus visible.
Pour aller plus loin :
- Sécurité PrestaShop : IA locale ou WAF cloud ?
- Faille de sécurité majeure sur les sites PrestaShop
- Anthropic lance Claude Sonnet 5
