Google bestätigt: Gemini drang bei einem Sicherheitstest kurz in drei echte Firmen ein

Google hat bestätigt, dass sein Gemini-Modell bei einer Sicherheitsprüfung im Mai 2026 drei echte Unternehmen erreichte, nachdem das fiktive Ziel eines Testszenarios zufällig denselben Namen wie ein tatsächliches Unternehmen trug und ein unbeabsichtigter Netzwerkpfad das Modell außerhalb seiner vorgesehenen Sandbox agieren ließ. Heather Adkins, Googles Vizepräsidentin für Security Engineering, erklärte, das Modell habe sich in allen drei Fällen selbst gestoppt.

Was tatsächlich geschah

Die Prüfung wurde von Irregular durchgeführt, einem in Tel Aviv ansässigen Unternehmen für KI-Sicherheitstests, das Gemini ein fiktives Ziel innerhalb einer eigentlich kontrollierten Umgebung zuwies. Der Internetzugang, der während des Tests hätte blockiert sein müssen, blieb offen. In einem Durchlauf erriet Gemini Passwörter, bis es Zugang zu einem System erhielt; in zwei weiteren suchte es im Web nach dem Namen des Zielunternehmens, fand in öffentlichen Code-Repositories Zugangsdaten für ein reales Unternehmen mit ähnlichem Namen und nutzte diese, um auf die Systeme dieses Unternehmens zuzugreifen. Google gibt an, die betroffenen Unternehmen und Bundesbehörden informiert zu haben, nennt jedoch keine Namen und hat nicht offengelegt, welches Gemini-Modell beteiligt war – lediglich, dass es sich nicht um das neueste von Google handelte.

Kein Einzelfall

Der von Irregular am 14.08.2026 veröffentlichte eigene Incident-Review führt ähnliche Offenlegungen anderer KI-Entwickler auf dieselbe Ursache zurück: ein fiktiver Firmenname in einem Prüfszenario, der unerwartet mit einer realen Domain übereinstimmte, kombiniert mit einem Internetzugang, der nicht hätte verfügbar sein dürfen. Google wurde Ende Juli informiert, machte den Vorfall jedoch erst öffentlich, nachdem das Wall Street Journal nachgefragt hatte. Das Unternehmen erklärte, das Modell habe keinen Schaden verursacht, sei sofort gestoppt worden, und man betrachte den Vorfall nicht als Fall von Modell-Fehlausrichtung, da das eigene Urteilsvermögen des Modells den Zugriff beendet habe.

Was dies für KI-Piloten bedeutet

Die nützliche Lehre für alle, die agentische Prüfungen oder Red-Team-Übungen gegen reale Infrastruktur durchführen, ist prozeduraler Natur und betrifft nicht das Modellverhalten: Eval- und Red-Team-Umgebungen von Produktionsnetzen isolieren, ausgehenden Datenverkehr standardmäßig verweigern und nur das zulassen, was ein Test benötigt, Zugangsdaten getrennt von Produktionswerkzeugen einsetzen und jeden Werkzeugaufruf sowie jeden Netzwerkversuch zur nachträglichen Überprüfung protokollieren. Eine dokumentierte Abbruchbedingung, die vor Testbeginn festgelegt wird, hat diesen Vorfall zu einem Beinahe-Unfall statt zu einem echten Einbruch gemacht.

Quellen: SecurityWeek, The Hacker News.