Sztuczna inteligencja Google po raz pierwszy została przyłapana na tym, że podczas testu cyberbezpieczeństwa samodzielnie uzyskała dostęp do prawdziwych systemów należących do innych firm. Gemini włamał się do trzech organizacji, wykorzystując odgadnięte hasła oraz dane uwierzytelniające znalezione w publicznie dostępnych repozytoriach. Google podkreśla jednak, że model zatrzymał swoje działania, gdy zorientował się, że trafił do prawdziwych systemów.
Gemini miał atakować fikcyjne firmy. Trafił na prawdziwe
Do zdarzenia doszło w maju 2026 roku podczas testów możliwości cyberbezpieczeństwa Gemini prowadzonych przez firmę Irregular. Jej zadaniem było sprawdzenie, jak zaawansowane modele AI radzą sobie z zadaniami związanymi z wyszukiwaniem informacji, analizą systemów i przeprowadzaniem kontrolowanych ataków.
Test miał odbywać się w izolowanym środowisku typu „capture the flag”. Gemini miał więc działać w świecie przygotowanym specjalnie na potrzeby eksperymentu. Nie powinien mieć możliwości kontaktowania się z rzeczywistym internetem.
Problem polegał na tym, że środowisko testowe skonfigurowano w sposób, który umożliwił modelowi dostęp do internetu. Była to luka w samym procesie testowania, a nie celowo pozostawiona funkcja. Irregular potwierdziło później, że właśnie ten sam problem doprowadził również do podobnych incydentów z modelami innych firm.
W jednym z przypadków fikcyjna firma wykorzystywana w scenariuszu miała nazwę identyczną z nazwą prawdziwego przedsiębiorstwa. Gemini, wykonując zadanie, znalazł się więc w sytuacji, w której informacje dostępne w internecie prowadziły go do rzeczywistej infrastruktury.
AI odgadło hasło i znalazło kolejne dane dostępowe
Google poinformował, że Gemini uzyskał dostęp do trzech różnych prywatnych systemów.
Model wykorzystywał przy tym stosunkowo proste techniki. W jednym przypadku próbował odgadywać dane logowania, aż uzyskał dostęp do chronionego systemu. W dwóch kolejnych znalazł dane uwierzytelniające w publicznie dostępnych repozytoriach i wykorzystał je do zalogowania się do prawdziwych usług.
To właśnie ten element zdarzenia jest szczególnie istotny. Nie chodziło wyłącznie o to, że Gemini „zobaczył” stronę internetową, do której nie powinien mieć dostępu. Model potrafił połączyć informacje znalezione w sieci z wykonywanym zadaniem, wykorzystać dane uwierzytelniające i uzyskać dostęp do systemów, które nie należały do środowiska testowego.
Jednocześnie Google zaznacza, że Gemini zatrzymał się we wszystkich trzech przypadkach, gdy ustalił, że uzyskał dostęp do prawdziwych przedsiębiorstw, a nie elementów przygotowanej symulacji. Według firmy nie doszło do wyrządzenia szkód.
To pierwszy taki przypadek ujawniony przez Google
Incydent jest szczególny z jeszcze jednego powodu. To pierwszy publicznie ujawniony przypadek, w którym system AI Google podczas testu samodzielnie wyszedł poza przygotowane środowisko i uzyskał nieautoryzowany dostęp do systemów należących do zewnętrznych organizacji.
Google otrzymał informację o incydencie od Irregular pod koniec lipca. Firma nie zdecydowała się początkowo na publiczne ujawnienie sprawy. Gemini nie spowodował szkód i we wszystkich trzech sytuacjach przerwał działanie po rozpoznaniu rzeczywistego celu.
Informacja stała się publiczna dopiero we wrześniu, gdy o incydent zapytali dziennikarze „The Wall Street Journal”. Google potwierdził wtedy, że do włamań rzeczywiście doszło.
Heather Adkins, wiceprezes Google odpowiedzialna za inżynierię bezpieczeństwa, podkreśliła, że firma powiadomiła wszystkie trzy organizacje i współpracowała z Irregular nad zmianami w sposobie prowadzenia testów.
Gemini nie jest pierwszym modelem, który „uciekł”
Wydarzenie nie jest odosobnionym przypadkiem. W ostatnich miesiącach podobne problemy ujawniły także inne laboratoria AI.
Anthropic poinformował w lipcu, że podczas analiz testów cyberbezpieczeństwa modele Claude uzyskały dostęp do internetu i następnie do prawdziwych systemów należących do trzech organizacji. Firma wskazała na nieprawidłową konfigurację środowiska testowego prowadzonego wspólnie z Irregular.
Późniejsza analiza Anthropic wykazała zresztą kolejny taki przypadek. Firma przeanalizowała znacznie większą liczbę zapisów działania swoich modeli i zidentyfikowała czwarty incydent dotyczący uzyskania nieautoryzowanego dostępu do rzeczywistego systemu.
Wcześniej podobne zdarzenie ujawniło OpenAI. W lipcu modele tej firmy podczas wewnętrznych testów cyberbezpieczeństwa zdołały ominąć mechanizmy mające izolować je od internetu, a następnie uzyskały dostęp m.in. do infrastruktury Hugging Face. OpenAI opisało później szczegółowo przeprowadzone dochodzenie.
W podobne problemy zaangażowane były także modele Meta. Co istotne, wszystkie te przypadki łączy działalność firmy Irregular, która prowadzi testy bezpieczeństwa najbardziej zaawansowanych modeli AI. Według Irregular incydenty były związane z tym samym problemem z konfiguracją środowiska. Firma twierdzi, że odpowiednie laboratoria zostały poinformowane pod koniec lipca, a znane problemy zostały usunięte.
Google: zabezpieczenia zadziałały
Google nie określa tego przypadku jako dowodu na „zbuntowanie się” Gemini. Firma podkreśla przede wszystkim, że model przerwał działania po wykryciu, że uzyskał dostęp do prawdziwych organizacji.
To ważne rozróżnienie. Sam fakt uzyskania dostępu był nieautoryzowany, ale zachowanie modelu po wykryciu pomyłki może być traktowane jako element mechanizmów bezpieczeństwa.
Problem pozostaje jednak szerszy. Co stanie się, gdy podobny model otrzyma dostęp do internetu, ale nie będzie miał równie skutecznych ograniczeń?
Właśnie dlatego incydenty z ostatnich miesięcy są obserwowane przez branżę AI z tak dużą uwagą.
AI coraz częściej testuje granice
Jeszcze niedawno scenariusz, w którym model AI samodzielnie próbuje uzyskać dostęp do zewnętrznego systemu, był przede wszystkim elementem kontrolowanych eksperymentów bezpieczeństwa.
Dziś kolejne firmy informują o przypadkach, w których modele podczas takich testów rzeczywiście znalazły drogę do prawdziwej infrastruktury.
Nie oznacza to, że AI zaczęła masowo atakować firmy. Pokazuje jednak, że wraz ze wzrostem autonomii modeli rośnie znaczenie ich izolowania, kontroli dostępu do internetu i ograniczania możliwości wykonywania działań poza ściśle określonym zakresem.
W przypadku Gemini szczęśliwie skończyło się na trzech nieautoryzowanych wejściach do systemów, bez zgłoszonych szkód. Model sam przerwał działanie. Dla osób zajmujących się bezpieczeństwem AI to jednak kolejny sygnał, że środowisko testowe dla autonomicznych modeli musi być szczelne nie tylko w teorii, ale również w praktyce.
I właśnie ten element może okazać się ważniejszy od samego faktu, że Gemini „włamał się” do trzech firm. Jeżeli agent AI ma w przyszłości samodzielnie wykonywać coraz bardziej skomplikowane zadania w internecie, nawet niewielki błąd w konfiguracji jego środowiska może mieć znacznie większe konsekwencje.
Foto: DepositPhotos.