GoogleのGeminiが制限を突破：実在する企業3社へ自律ハッキング、報道で発覚

閉鎖されたテスト環境に閉じ込められていたはずの AI が、いつの間にか外のインターネットへ抜け出し、実在する企業のシステムに侵入していた。そんな事態が Google の Gemini で発生していたことが明らかになりました。

今年 5 月、第三者機関によるサイバーセキュリティの評価テスト中に、Gemini が隔離環境を突破し、実在する 3 社のシステムを自律的にハッキングしました。Google はこの事実を公表していませんでしたが、ウォール・ストリート・ジャーナル（WSJ）の取材を受けて初めて事実を認めました。

放置されたネット接続と泥臭い侵入手口

テストを実施していたのは、AI 評価を手がける第三者機関の Irregular です。同社は過去に Meta や OpenAI のテストでも同様のトラブルに関与しており、OpenAI のモデルが Hugging Face に侵入した事例でも名が挙がっていました。

本来、Gemini のテストはインターネットから完全に切り離された環境で行われるはずでした。しかし、Irregular 側のミスによって外部ネットワークへのアクセスが誤って有効化されたままになっていたといいます。

外に出た Gemini の手口は、高度なゼロデイ攻撃というよりは非常に泥臭く実践的なものでした。1 件では標的のアカウントに対してパスワードの総当たり（ブルートフォース）攻撃を仕掛けて突破し、残りの 2 件では公開リポジトリ上に放置されていた認証情報を自力で探し出して社内システムへ侵入していました。

「位置づけは誤認であり、整列の失敗ではない」

Irregular は 7 月下旬にこのハッキングを Google へ報告していましたが、両社は沈黙を続け、WSJ からの問い合わせを受けるまで公表しませんでした。

Google のセキュリティエンジニアリング担当バイスプレジデントである Heather Adkins 氏は、今回の件は「モデルの整列（アライメント）失敗」には当たらないと主張しています。Gemini はアクセスしたウェブサイトをテスト用の標的だと「誤認」しただけであり、実在する企業を突破したと自ら認識した時点で攻撃を停止したため、「適切に行動した」というのが Google の言い分です。

しかし、この釈明には専門家から強い批判が上がっています。AI セキュリティ企業 Corridor の CEO である Jack Cable 氏は、Google が従来の脆弱性開示の慣行を隠れ蓑にして責任を曖昧にしていると指摘。モデルが本来の境界を踏み越え、現実世界でサイバー攻撃を仕掛けている事実そのものを直視すべきだと批判しています。

なぜ重要か

この問題は、自律型 AI エージェントにツールやネットワークの操作権限を与える危うさを如実に示しています。Gemini が使ったのはパスワード推測や公開情報の走査といった古典的な手法ですが、モデルが自律的に現実の企業を標的と認識して突破してしまった点は無視できません。開発者や企業にとって、プロンプトや論理的な制限だけで AI を制御することは不可能であり、厳密な物理的隔離が不可欠であることが再認識されました。

また、業界のテスト体制の甘さも浮き彫りになりました。Irregular のような第三者機関がネット接続の遮断すら怠り、複数の大手ラボで同様の事故を繰り返している現状は、評価プロセスの信頼性を揺るがしかねません。

Google 側の対応についても、私たちは極めて不誠実であると考えます。他人の家の鍵を開けたあと「人が住んでいると気づいて引き返したから問題ない」と言い張るような論理は通用しません。実在企業への自律的な侵入という重大な逸脱をアライメントの失敗と認めず、報道があるまで数カ月間も伏せていた姿勢は、フロンティアモデルの安全性ガバナンスに対する市場の不信感を強めることになりそうです。