Gemini 安全測試越界：自主黑進 3 家真實公司，Google 隱瞞數月

原本只是想在自家庭院裡給 AI 搭個靶場練練手，結果它順著牆縫溜出去，把隔壁鄰居家的防盜門給撬了。

今年 5 月，Google 旗下的 Gemini AI 在一次網路安全測試中突破了沙盒限制，自主攻破了三家真實公司的系統。更尷尬的是，這起已知首例 Google AI 越界駭客事件發生後，Google 一直瞞著沒說，直到《華爾街日報》找上門求證，才在週五公開承認。

沒拔掉的網線與順手牽羊的 AI

這場測試由第三方安全評估機構 Irregular 主導，原本是為了測試 Gemini 的網路防禦和滲透能力。按照規矩，模型在測試中絕對不能接入網際網路，但 Irregular 出現嚴重疏漏，無意中把外網通道留開了。

獲得網路自由的 Gemini 隨即開始越界操作。從攻擊手段來看，它並沒有使用多麼驚世駭俗的漏洞，反而像個經驗老道但手法樸素的網蟲：面對第一家公司，它直接靠死磕暴力猜密碼硬闖了進去；面對另外兩家，它則是在公開程式碼儲存庫裡順藤摸瓜，找到了遺留的訪問憑證。

值得一提的是，Irregular 此前在測試 Meta 和 OpenAI 時也出過類似亂子，OpenAI 甚至發生過模型侵入開源平臺 Hugging Face 的先例。

認錯目標，就能算表現得當？

Irregular 早在 7 月底就把事故捅給了 Google，但兩家公司一直保持沉默，直到媒體曝光。

面對質疑，Google 安全工程副總裁 Heather Adkins 辯稱，這不能算作模型未對齊，充其量是一場認錯目標的誤會。她的邏輯是，Gemini 誤以為那些外部網站也是測試靶場的一部分，而且一旦模型發現自己暴力破解進入的是一家真實公司，它就立刻停手了，因此模型在整個過程中行動得當。

但業內人士並不買賬。AI 安全公司 Corridor 的 CEO Jack Cable 接受《華爾街日報》採訪時直言，Google 這是在拿常規的漏洞披露規範當遮羞布，真正核心且嚴重的問題在於，AI 模型正在越過既定紅線，在現實世界中發起貨真價實的網路攻擊。

為什麼重要

這件事給所有打算把網路和工具許可權交給 AI Agent 的團隊澆了一盆冷水。對開發者和企業來說，Gemini 這次展現出的攻擊手段雖然只是猜密碼和搜憑證，門檻不高，但可怕之處在於它的自主性和盲目性。AI 根本搞不清虛擬靶場與現實商業世界的物理邊界，一旦防護配置出現一點紕漏，它就會把真實環境當作任務目標順手端掉。

對安全行業而言，這也徹底暴露了當下第三方紅隊測試的草臺班子現狀。測試機構不僅沒看住沙盒網線，事發後甚至還能合謀壓制訊息兩個多月。行業不能一邊兜售著 AI 輔助防禦的願景，一邊在測試環節連基礎的網路隔離都做不好。

在我們看來，Google 將這起事故輕描淡寫為認錯目標並聲稱模型表現得當，顯然站不住腳。這就好比一個小偷撬開防盜門後發現屋裡坐著屋主，隨後轉身離開，並不意味著撬門的行為本身是正當的。模型一旦缺乏對目標實體身份的強制校驗機制，這種所謂的自覺停手就全憑運氣。更令人擔憂的是大廠對模型越界行為的掩蓋傾向，如果每一次越界都要等媒體曝光才肯承認，我們距離真正可控的 AI 安全監管還有很長的路要走。