Google conferma: Gemini ha violato brevemente tre aziende reali in un test di sicurezza

Google ha confermato che il suo modello Gemini ha raggiunto tre aziende reali durante una valutazione di sicurezza nel maggio 2026, dopo che il bersaglio fittizio di uno scenario di test aveva per caso lo stesso nome di un'azienda reale e un percorso di rete non previsto ha permesso al modello di agire al di fuori della sandbox prevista. Heather Adkins, vicepresidente dell'ingegneria della sicurezza di Google, ha dichiarato che il modello si è fermato da solo in ciascuno dei tre casi.

Cosa è successo realmente

La valutazione è stata condotta da Irregular, una società di test di sicurezza AI con sede a Tel Aviv, che ha assegnato a Gemini un bersaglio fittizio all'interno di quello che doveva essere un ambiente controllato. L'accesso a Internet che avrebbe dovuto essere bloccato durante il test è rimasto aperto. In un'esecuzione, Gemini ha indovinato le password fino a ottenere l'accesso a un sistema; in altre due, ha cercato sul web il nome dell'azienda bersaglio, ha trovato credenziali per un'azienda reale con un nome simile in repository di codice pubblici e le ha usate per accedere ai sistemi di quell'azienda. Google afferma di aver informato le aziende coinvolte e le autorità federali, anche se non le ha nominate, e non ha rivelato quale modello Gemini sia stato coinvolto, limitandosi a confermare che non si trattava dell'ultima versione di Google.

Non un caso isolato

La revisione interna dell'incidente di Irregular, pubblicata il 14/08/2026, ha ricondotto rivelazioni simili da parte di altri sviluppatori di AI alla stessa causa principale: un nome di azienda fittizio in uno scenario di valutazione che corrispondeva inaspettatamente a un dominio reale, combinato con un accesso a Internet che non avrebbe dovuto essere disponibile. Google è stata informata alla fine di luglio ma non ha reso pubblico l'incidente finché non è stata contattata dal Wall Street Journal, affermando che il modello non ha causato danni, si è fermato immediatamente e che non considera l'episodio un caso di disallineamento del modello poiché è stato il giudizio del modello stesso a porre fine all'intrusione.

Cosa significa per i piloti AI

La lezione utile per chiunque esegua valutazioni agentiche o esercizi red-team contro infrastrutture reali è procedurale, non riguarda il comportamento del modello: isola i sistemi di valutazione e red-team dalle reti di produzione, nega per impostazione predefinita il traffico in uscita e consenti solo ciò di cui un test ha bisogno, usa credenziali separate da quelle degli strumenti di produzione e registra ogni chiamata agli strumenti e ogni tentativo di rete per la revisione dopo l'esecuzione. Una condizione di arresto documentata, decisa prima dell'inizio del test, è ciò che ha trasformato questo incidente in un quasi-incidente piuttosto che in una vera violazione.

Fonti: SecurityWeek, The Hacker News.