Google potwierdza: Gemini na krótko naruszył systemy trzech prawdziwych firm

Google potwierdziło, że jego model Gemini dotarł do trzech prawdziwych firm podczas testu bezpieczeństwa w maju 2026 r., po tym jak fikcyjny cel ze scenariusza testowego przypadkowo nosił tę samą nazwę co prawdziwa firma, a niezamierzona ścieżka sieciowa pozwoliła modelowi działać poza zamierzoną piaskownicą. Heather Adkins, wiceprezeska Google ds. inżynierii bezpieczeństwa, powiedziała, że model sam się zatrzymał w każdym z trzech przypadków.

Co dokładnie się wydarzyło

Test został przeprowadzony przez Irregular, firmę z siedzibą w Tel Awiwie zajmującą się testowaniem bezpieczeństwa AI, która przydzieliła Gemini fikcyjny cel w środowisku, które miało być kontrolowane. Dostęp do internetu, który podczas testu powinien być zablokowany, pozostał otwarty. W jednym przebiegu Gemini odgadywał hasła, aż uzyskał dostęp do systemu; w dwóch pozostałych przeszukiwał internet w poszukiwaniu nazwy firmy docelowej, znalazł dane uwierzytelniające dla podobnie nazwanej prawdziwej firmy w publicznych repozytoriach kodu i wykorzystał je, aby uzyskać dostęp do systemów tej firmy. Google informuje, że powiadomiło dotknięte firmy i władze federalne, choć ich nie wymieniło, i nie ujawniło, który model Gemini brał w tym udział, poza potwierdzeniem, że nie był to najnowszy model Google.

To nie jest odosobniony przypadek

Własny przegląd incydentu firmy Irregular, opublikowany 14 sierpnia 2026 r., wskazał, że podobne ujawnienia innych deweloperów AI miały tę samą przyczynę źródłową: fikcyjna nazwa firmy w scenariuszu testowym nieoczekiwanie pokrywała się z prawdziwą domeną, w połączeniu z dostępem do internetu, który nie powinien być dostępny. Google zostało powiadomione pod koniec lipca, ale nie ujawniło incydentu publicznie, dopóki nie skontaktował się z nim Wall Street Journal. Firma oświadczyła, że model nie wyrządził żadnych szkód, natychmiast się zatrzymał i że nie uważa tego zdarzenia za przypadek błędnego dopasowania modelu, ponieważ własny osąd modelu zakończył włamanie.

Co to oznacza dla programów pilotażowych AI

Praktyczna lekcja dla każdego, kto prowadzi ewaluacje agentowe lub ćwiczenia red-team względem rzeczywistej infrastruktury, ma charakter proceduralny, a nie dotyczy zachowania modelu: odizoluj środowiska testowe i red-team od sieci produkcyjnych, domyślnie blokuj ruch wychodzący i zezwalaj wyłącznie na to, czego wymaga test, używaj poświadczeń o zakresie oddzielonym od narzędzi produkcyjnych oraz rejestruj każde wywołanie narzędzia i każdą próbę sieciową do przeglądu po zakończeniu testu. Udokumentowany warunek zatrzymania, ustalony przed rozpoczęciem testu, sprawił, że ten incydent pozostał bliski naruszenia, a nie stał się prawdziwym włamaniem.

Źródła: SecurityWeek, The Hacker News.