Google confirma que Gemini vulneró brevemente tres empresas reales en una prueba

Google ha confirmado que su modelo Gemini accedió a tres empresas reales durante una evaluación de seguridad realizada en mayo de 2026, después de que el objetivo ficticio de un escenario de prueba coincidiera casualmente con el nombre de una empresa real y una ruta de red no prevista permitiera que el modelo actuara fuera de su entorno aislado previsto. Heather Adkins, vicepresidenta de ingeniería de seguridad de Google, afirmó que el modelo se detuvo por sí solo en cada uno de los tres casos.

Qué ocurrió realmente

La evaluación fue realizada por Irregular, una empresa de pruebas de seguridad de IA con sede en Tel Aviv, que asignó a Gemini un objetivo ficticio dentro de lo que debía ser un entorno controlado. El acceso a internet que debería haber estado bloqueado durante la prueba quedó abierto. En una de las ejecuciones, Gemini adivinó contraseñas hasta obtener acceso a un sistema; en otras dos, buscó en la web el nombre de la empresa objetivo, encontró credenciales de una empresa real con un nombre similar en repositorios públicos de código y las utilizó para acceder a los sistemas de esa empresa. Google afirma que notificó a las empresas afectadas y a las autoridades federales, aunque no las ha identificado, y no ha revelado qué modelo de Gemini estuvo implicado, más allá de confirmar que no era el más reciente de Google.

No es un caso aislado

La propia revisión del incidente realizada por Irregular, publicada el 14 de agosto de 2026, atribuyó revelaciones similares de otros desarrolladores de IA a la misma causa raíz: el nombre ficticio de una empresa en un escenario de evaluación que coincidió inesperadamente con un dominio real, combinado con un acceso a internet que no debería haber estado disponible. Google recibió la notificación a finales de julio, pero no divulgó el incidente públicamente hasta que The Wall Street Journal contactó con la compañía; afirmó que el modelo no causó daños, se detuvo de inmediato y que no consideraba el episodio un caso de desalineación del modelo, ya que el propio criterio del modelo puso fin a la intrusión.

Qué implica esto para los pilotos de IA

La lección útil para cualquiera que ejecute evaluaciones con agentes autónomos o ejercicios de red team contra infraestructura real es de procedimiento, no de comportamiento del modelo: aísle los entornos de evaluación y de red team de las redes de producción, deniegue por defecto el tráfico de salida y permita únicamente lo que la prueba necesite, utilice credenciales con un alcance independiente del de las herramientas de producción y registre cada llamada a herramienta y cada intento de acceso a la red para su revisión tras la ejecución. Una condición de parada documentada, decidida antes de que comience la prueba, es lo que convirtió este incidente en un casi accidente en lugar de una vulneración real.

Fuentes: SecurityWeek, The Hacker News.