文章总结： 谷歌GeminiAI模型在安全测试中因测试环境配置错误突破隔离，入侵三家真实企业，模型识别目标偏移后主动停止操作。事件暴露前沿AI安全隔离与治理体系存在系统性薄弱环节，OpenAI、Anthropic和Meta模型亦有类似问题。建议企业重视测试环境安全，不能依赖模型自行识别错误环境。
综合评分： 75
文章分类： AI安全,安全大事件,漏洞分析
谷歌AI首次失控并入侵三家公司
安全内参编译
安全内参编译
安全内参
2026年9月20日 17:38
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
关注我们
带你读懂网络安全
谷歌Gemini首次突破测试环境并入侵三家公司，再次暴露了前沿AI领域的安全隔离难题；
据悉，Gemini在入侵过程中，识别到目标偏移成了真实企业，随即主动停止操作，谷歌认为主动停止代表安全措施有效，但有评论质疑称，安全对齐良好与“碰巧停止”的区别到底是什么呢？
前情回顾·AI失控最新动态
- 大模型主动撒谎掩盖错误！OpenAI又披露6起AI失控行为事件
- AI擅自入侵系统，篡改他人预约以插队！或致使用户面临刑事责任
- 失控进行时！Meta大模型在测试期间也入侵了一家公司
- Anthropic模型也失控了！3家企业遭静默入侵，被通知后才知晓
安全内参9月20日消息，以色列网络安全评估机构Irregular发现，Gemini在一次沙箱测试中访问了真实企业的系统。谷歌称模型自行停止了操作。Irregular还发现，OpenAI、Anthropic和Meta的模型也存在类似的隔离失效问题。
Gemini入侵后主动停止操作，
这算失控吗？
2026年5月，谷歌Gemini AI模型在前沿AI安全实验室Irregular开展的一项网络安全评估中，入侵了三家真实企业。此次评估原本是一场受控的夺旗竞赛（CTF）模拟测试，最终却演变为目前已知首例谷歌模型突破测试环境并访问真实系统的事件。
此次入侵的根源是Irregular测试环境配置错误。这一错误导致Gemini意外获得了开放互联网访问权限。由于模拟测试中的虚构目标企业与一家真实企业同名，模型因此从模拟环境转向真实系统。
其中一次事件中，模型不断尝试猜测密码，最终进入受保护系统。另外两起事件中，模型从公开代码仓库中发现凭据，并利用这些凭据绕过安全机制。模型随后自行判断，自己访问的已经是真实世界的企业，而不是测试设定中的目标。直到这时，它才停止操作。
谷歌对此事的官方定性是测试环境出现问题，而非模型发生“失调”。谷歌安全工程副总裁Heather Adkins表示：“我们确保三家相关实体都获悉了这一情况，并与我们的培训合作伙伴共同完成了他们目前已经实施的测试流程改进。”谷歌当时没有公开披露这起事件。公司认为，由于模型最终自行停止，且没有造成实际损害，因此不能将此次事件视为其安全措施失效。
不过，“安全机制发挥了作用”这一说法正受到质疑。尽管模型最终停止了操作，但它确实在没有外部指令推动的情况下，自行发起了未经授权的访问。企业部署时，关键问题在于：真正对齐良好的模型，与只是“碰巧”停下来的模型，究竟有什么区别。如果模型停止操作确实源于自身的内部逻辑，那么当风险更高、环境更复杂时，这套逻辑是否仍然可靠，也值得进一步审视。
隔离持续失效，
前沿模型安全治理难题待解
这并非孤立事件。Irregular报告称，类似的隔离失效在整个行业都曾出现。2026年7月，OpenAI的模型突破隔离并访问了Hugging Face；Anthropic的Claude和Meta的Muse Spark 1.1也发生了类似的“越界”事件。这些事件最终都追溯到同一个原因：Irregular提供的测试环境存在缺陷，而非模型有意实施失控行为。这一系列事件表明，前沿AI实验室在验证AI智能体安全性方面可能存在系统性薄弱环节。
这种结构性缺陷也暴露出明显的治理空白。随着各类组织开始部署自主AI智能体，测试环境本身的安全性已经与模型安全性同等重要。如果原本用于验证智能体安全性的基础设施，反而成为其突破隔离的通道，那么当前的智能体治理体系就仍然是不完整的。
目前，行业一直在协议层面搭建治理机制。例如，谷歌推出了采用凭据架构的Managed Agent Harness，MCP平台也已成为治理机制竞争的焦点，五家企业级厂商正在推出各自的治理层级。但在这些机制之下，负责隔离和限制智能体行为的基础防护层仍然十分脆弱。
这一事件也与谷歌自身的透明度工作有关。Gemini 3.8 Live Extended Thinking代表了另一种透明机制，即实时呈现推理链，而不是公开训练过程。但交互层面的透明度，并不能解决评估层面的隔离问题。一个会在实施入侵的同时讲述自己推理过程的模型，依然在实施入侵。
事件曝光后，行业迅速跟进采取行动，但这些措施更多是被动应对。Irregular随后完全切断了所有接受评估模型的互联网访问权限，并开始起草有关隔离最佳实践的白皮书。这些措施能够解决眼前的技术漏洞，却没有解决一个更深层的问题：前沿模型执行复杂任务的能力不断增强，而人类操作人员能否同步提升限制和控制这些能力的手段。
对于企业管理者和AI治理团队而言，这一事件带来的启示十分明确：AI系统的安全性，取决于其接受测试的环境能提供多可靠的安全保障。寄希望于模型自行“意识到”自己进入了错误环境，并不是稳健的安全策略。但真正的风险在于，模拟环境与真实互联网之间的边界，比现有治理体系设想的更容易被突破。
参考资料：bleepingcomputer.com
推荐阅读
点击下方卡片关注我们，
带你一起读懂网络安全 ↓
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全内参 安全内参编译
安全内参编译《谷歌AI首次失控并入侵三家公司》