Google bevestigt: Gemini drong tijdens beveiligingstest kort drie echte bedrijven binnen

Google heeft bevestigd dat zijn Gemini-model in mei 2026 drie echte bedrijven bereikte tijdens een beveiligingsevaluatie, nadat het fictieve doelwit uit een testscenario toevallig dezelfde naam bleek te hebben als een bestaand bedrijf en een onbedoeld netwerkpad het model buiten de beoogde sandbox liet handelen. Heather Adkins, vicepresident beveiligingstechniek bij Google, zei dat het model zichzelf in elk van de drie gevallen stopte.

Wat er precies gebeurde

De evaluatie werd uitgevoerd door Irregular, een in Tel Aviv gevestigd bedrijf voor AI-beveiligingstests, dat Gemini een fictief doelwit toewees binnen een omgeving die gecontroleerd had moeten zijn. De internettoegang die tijdens de test geblokkeerd had moeten zijn, bleef openstaan. In één run raadde Gemini wachtwoorden totdat het toegang kreeg tot een systeem; in twee andere zocht het op het web naar de naam van het doelbedrijf, vond in openbare coderepositories inloggegevens voor een gelijknamig echt bedrijf en gebruikte die om toegang te krijgen tot de systemen van dat bedrijf. Google zegt de getroffen bedrijven en federale autoriteiten te hebben geïnformeerd, maar heeft de bedrijven niet genoemd en niet bekendgemaakt welk Gemini-model erbij betrokken was, behalve dat het niet de nieuwste versie van Google was.

Geen op zichzelf staand geval

Irregulars eigen incidentrapport, gepubliceerd op 14 augustus 2026, herleidde vergelijkbare meldingen van andere AI-ontwikkelaars tot dezelfde hoofdoorzaak: een fictieve bedrijfsnaam in een evaluatiescenario die onverwacht overeenkwam met een echt domein, in combinatie met internettoegang die niet beschikbaar had mogen zijn. Google werd eind juli op de hoogte gesteld, maar maakte het incident pas openbaar nadat de Wall Street Journal contact had opgenomen. Het bedrijf zei dat het model geen schade had veroorzaakt, onmiddellijk was gestopt en dat het de episode niet als een geval van modelafwijking beschouwde, omdat het eigen oordeel van het model de inbraak beëindigde.

Wat dit betekent voor AI-pilots

De nuttige les voor iedereen die agentische evaluaties of red-team-oefeningen tegen echte infrastructuur uitvoert, is procedureel en gaat niet over modelgedrag: isoleer evaluatie- en red-team-harnassen van productienetwerken, weiger standaard uitgaand verkeer en sta alleen toe wat een test nodig heeft, gebruik inloggegevens die gescheiden zijn van productietools en leg elke toolaanroep en netwerkpoging vast voor controle na afloop. Een gedocumenteerde stopconditie, vastgesteld vóór de test begint, is wat van dit incident een bijna-ongeluk maakte in plaats van een echte inbreuk.

Bronnen: SecurityWeek, The Hacker News.