docs: track security evidence and research notes

docs/research/2026-09-07-antigravity-gemini-flash-value.md

@@ -0,0 +1,122 @@
+# Google Antigravity e Gemini 3.8 Flash: convenienza costo/qualità
+
+Verifica effettuata il **7 settembre 2026**, privilegiando documentazione e annunci
+ufficiali Google. Le prove indipendenti su Gemini 3.8 Flash sono ancora limitate perché il
+modello è stato pubblicato il 2 settembre 2026.
+
+## Giudizio sintetico
+
+- **Registrazione gratuita: decisamente conveniente.** Il piano Individual da $0 include
+  Gemini 3.8 Flash, l'ultima versione Flash, oltre alla CLI e alle funzioni principali di
+  Antigravity. È difficile ottenere un rapporto costo/qualità migliore di un accesso gratuito
+  a un modello di questa fascia.
+- **Google AI Pro da circa $20/mese: probabilmente conveniente per uso regolare**, ma solo dopo
+  aver misurato il consumo sul piano gratuito. Google non pubblica un numero fisso di prompt o
+  token inclusi, quindi non è possibile calcolare un break-even affidabile contro l'API.
+- **Ultra da $100 o $200: non lo comprerei per il solo Gemini Flash** senza aver già dimostrato
+  di saturare Pro. Il piano da $100 offre 5 volte la quota Pro; quello da $200 ne offre 20 volte.
+- Per il server dietro CyberArk, Antigravity ha un vantaggio concreto: la CLI ufficiale `agy`
+  funziona direttamente in Linux e prevede esplicitamente un flusso OAuth remoto tramite URL e
+  codice, senza tunnel né port forwarding.
+
+## Accesso e prezzi
+
+La [pagina ufficiale dei piani Antigravity](https://www.antigravity.google/docs/plans/) e la
+[tabella dei modelli](https://www.antigravity.google/docs/models/) indicano che Gemini 3.8 Flash
+è disponibile su Individual gratuito, AI Plus, AI Pro, AI Ultra ed Enterprise. Il piano gratuito
+include anche completamenti Tab illimitati e tutte le funzioni del prodotto, inclusa la CLI, ma
+ha un limite settimanale di base.
+
+Google AI Pro costa normalmente **$19,99/mese** nella pagina internazionale di
+[Google One](https://one.google.com/about/plans) e offre quote Antigravity superiori, con rinnovo
+ogni cinque ore finché non viene raggiunto il limite settimanale. Google AI Ultra è offerto a
+[$100/mese con quota 5× Pro oppure $200/mese con quota 20× Pro](https://blog.google/products-and-platforms/products/google-one/google-ai-subscriptions/).
+
+Il problema è la misurabilità: Google dichiara che i limiti dipendono dalla capacità disponibile
+e dalla quantità di lavoro compiuta dall'agente, possono cambiare e non corrispondono a un numero
+pubblico fisso di richieste o token. Pro e Ultra possono acquistare crediti per continuare oltre
+la quota base, con consumo ai prezzi della piattaforma Gemini.
+
+Usando direttamente la Gemini API, Gemini 3.8 Flash costa fino al 31 dicembre 2026:
+
+- **$0,75 per milione di token di input**;
+- **$3,75 per milione di token di output**, inclusi i token di ragionamento;
+- la metà in modalità Batch o Flex.
+
+Dal 1º gennaio 2027 questi prezzi raddoppieranno a $1,50/$7,50. Esiste anche un free tier API,
+con limiti, nel quale input e output sono gratuiti ma i contenuti possono essere usati per
+migliorare i prodotti Google. Fonte: [pricing ufficiale Gemini API](https://ai.google.dev/gemini-api/docs/pricing).
+
+## Qualità del modello
+
+[Gemini 3.8 Flash](https://ai.google.dev/gemini-api/docs/models/gemini-3.8-flash) è GA, offre un
+contesto da 1.048.576 token, output fino a 65.536 token, livelli di ragionamento low/medium/high e
+strumenti per code execution, computer use, file search, function calling e search grounding.
+
+I risultati pubblicati da Google lo collocano molto vicino ai modelli flagship su alcuni test di
+coding, ma non su tutti:
+
+| Benchmark | Gemini 3.8 Flash | Claude Opus 5 | GPT-5.6 Sol | Lettura onesta |
+|---|---:|---:|---:|---|
+| DeepSWE v1.1 | 73,7% | 74,0% | 72,7% | Prestazione quasi flagship sul software engineering end-to-end |
+| Terminal-Bench 2.1 | 89,4% | 89,1% | 88,8% | Eccellente nel terminale sul benchmark più maturo |
+| Terminal-Bench 4.0 | 19,1% | 51,8% | 37,3% | Forte calo sul test nuovo e più difficile: non è universalmente al livello dei flagship |
+
+La [metodologia ufficiale Google](https://deepmind.google/models/evals-methodology/gemini-3-8-flash/)
+precisa che diversi punteggi Gemini sono calcolati internamente e che i concorrenti provengono
+anche da risultati auto-dichiarati; inoltre DeepSWE usa mini-swe, mentre Terminal-Bench usa un
+harness diverso. I numeri vanno quindi letti come indicazione, non come garanzia. Una
+[ricostruzione della tabella e dei confronti](https://www.vellum.ai/blog/gemini-3-8-flash-benchmarks-explained)
+mostra lo stesso andamento: molto competitivo sui compiti di coding già ben rappresentati, più
+debole su alcune prove nuove e aperte.
+
+La conclusione qualitativa è: **ottimo implementatore quotidiano e subagente veloce**, con qualità
+da modello molto più costoso in diversi task; per architettura difficile, debugging ambiguo o
+lavori ad alto rischio è ancora sensato affiancargli un modello più forte come pianificatore o
+revisore.
+
+## Perché Antigravity è particolarmente adatto al server
+
+La [CLI ufficiale Antigravity](https://antigravity.google/docs/cli/overview/) è una TUI interattiva
+con editing multi-file, cronologia, tool calling, sandbox e subagenti. La
+[guida d'installazione e autenticazione](https://antigravity.google/docs/cli/install/) conferma:
+
+- esecuzione nativa su Linux, macOS e Windows;
+- binario `agy` installato in `~/.local/bin` su Linux/macOS;
+- quando rileva SSH, stampa un URL da aprire sul Mac e richiede di incollare nel terminale il
+  codice ottenuto;
+- nessuna porta in ascolto e nessun port forwarding sono necessari per questo login.
+
+Questo risolve meglio di ZCode il vincolo CyberArk, purché il server possa effettuare connessioni
+HTTPS in uscita e sia consentita l'installazione del binario.
+
+Per consumare la quota della registrazione Antigravity bisogna usare il client ufficiale. I
+[termini Antigravity](https://antigravity.google/terms) vietano di riutilizzare il login/OAuth con
+Pi, OMP, Claude Code, OpenCode o altri client. Con questi harness si può invece usare una normale
+chiave Gemini API, pagando o consumando la quota API separata.
+
+## Privacy e codice aziendale
+
+Con un account personale Google registra le interazioni e può usarle per valutare e migliorare
+prodotti e modelli; l'utente può disattivare l'uso dalle impostazioni. I termini Enterprise sono
+diversi e la documentazione dichiara che codice, prompt e trascrizioni delle organizzazioni non
+sono usati per addestrare i modelli Google. Fonti:
+[termini Antigravity](https://antigravity.google/terms) e
+[integrazioni Enterprise](https://antigravity.google/docs/ide/extensions/).
+
+Su un server aziendale protetto da CyberArk userei quindi una registrazione personale solo dopo
+aver verificato la policy interna; in caso contrario sceglierei l'accesso Antigravity Enterprise
+tramite il progetto Google Cloud dell'organizzazione.
+
+## Raccomandazione finale
+
+1. Creare l'account gratuito e usare `agy` sul server per una settimana con task reali.
+2. Tenere disabilitato l'uso automatico dei crediti extra e osservare i due indicatori di quota.
+3. Passare a Pro soltanto se il limite gratuito interferisce con il lavoro.
+4. Non acquistare Ultra finché Pro non viene saturato con regolarità.
+5. Usare Gemini 3.8 Flash come modello principale per esplorazione, implementazione e test; per le
+   decisioni più difficili, mantenere Codex/Sol/Opus o un altro modello forte come revisore.
+
+In breve: **sì, oggi Antigravity gratuito o Pro offre uno dei migliori rapporti costo/qualità per
+Gemini 3.8 Flash**, e nel caso specifico la CLI ufficiale senza tunnel aumenta ulteriormente il
+valore. Il limite commerciale da accettare è la quota non numerica e modificabile da Google.