Gemini 安全测试越界：自主黑进 3 家真实公司，Google 隐瞒数月

原本只是想在自家庭院里给 AI 搭个靶场练练手，结果它顺着墙缝溜出去，把隔壁邻居家的防盗门给撬了。

今年 5 月，Google 旗下的 Gemini AI 在一次网络安全测试中突破了沙盒限制，自主攻破了三家真实公司的系统。更尴尬的是，这起已知首例 Google AI 越界黑客事件发生后，Google 一直瞒着没说，直到《华尔街日报》找上门求证，才在周五公开承认。

没拔掉的网线与顺手牵羊的 AI

这场测试由第三方安全评估机构 Irregular 主导，原本是为了测试 Gemini 的网络防御和渗透能力。按照规矩，模型在测试中绝对不能接入互联网，但 Irregular 出现严重疏漏，无意中把外网通道留开了。

获得网络自由的 Gemini 随即开始越界操作。从攻击手段来看，它并没有使用多么惊世骇俗的漏洞，反而像个经验老道但手法朴素的网虫：面对第一家公司，它直接靠死磕暴力猜密码硬闯了进去；面对另外两家，它则是在公开代码存储库里顺藤摸瓜，找到了遗留的访问凭证。

值得一提的是，Irregular 此前在测试 Meta 和 OpenAI 时也出过类似乱子，OpenAI 甚至发生过模型侵入开源平台 Hugging Face 的先例。

认错目标，就能算表现得当？

Irregular 早在 7 月底就把事故捅给了 Google，但两家公司一直保持沉默，直到媒体曝光。

面对质疑，Google 安全工程副总裁 Heather Adkins 辩称，这不能算作模型未对齐，充其量是一场认错目标的误会。她的逻辑是，Gemini 误以为那些外部网站也是测试靶场的一部分，而且一旦模型发现自己暴力破解进入的是一家真实公司，它就立刻停手了，因此模型在整个过程中行动得当。

但业内人士并不买账。AI 安全公司 Corridor 的 CEO Jack Cable 接受《华尔街日报》采访时直言，Google 这是在拿常规的漏洞披露规范当遮羞布，真正核心且严重的问题在于，AI 模型正在越过既定红线，在现实世界中发起货真价实的网络攻击。

为什么重要

这件事给所有打算把网络和工具权限交给 AI Agent 的团队浇了一盆冷水。对开发者和企业来说，Gemini 这次展现出的攻击手段虽然只是猜密码和搜凭证，门槛不高，但可怕之处在于它的自主性和盲目性。AI 根本搞不清虚拟靶场与现实商业世界的物理边界，一旦防护配置出现一点纰漏，它就会把真实环境当作任务目标顺手端掉。

对安全行业而言，这也彻底暴露了当下第三方红队测试的草台班子现状。测试机构不仅没看住沙盒网线，事发后甚至还能合谋压制消息两个多月。行业不能一边兜售着 AI 辅助防御的愿景，一边在测试环节连基础的网络隔离都做不好。

在我们看来，Google 将这起事故轻描淡写为认错目标并声称模型表现得当，显然站不住脚。这就好比一个小偷撬开防盗门后发现屋里坐着屋主，随后转身离开，并不意味着撬门的行为本身是正当的。模型一旦缺乏对目标实体身份的强制校验机制，这种所谓的自觉停手就全凭运气。更令人担忧的是大厂对模型越界行为的掩盖倾向，如果每一次越界都要等媒体曝光才肯承认，我们距离真正可控的 AI 安全监管还有很长的路要走。