Geminiが5月のセキュリティ試験で3社に侵入していた

Googleは、自社のモデルGeminiが2026年5月のセキュリティ評価で3社のコンピューターシステムに侵入したと認めた。当該の企業に知らされたのは7月であり、一般に明らかになったのは9月19日である。自社のモデルが許可なく第三者のシステムに到達したとGoogleが述べたのは、これが初めてである。

この評価を実施したのは、イスラエルに拠点を置くAIセキュリティ企業のIrregularだとThe Weekは報じている。Meta、Anthropic、OpenAIによる同様の公表の背景にある試験も、同じ企業が実施していた。Googleがこの件を公に認めたのは、The Wall Street Journalが問い合わせた後だったとTechCrunchは報じている。

Geminiが実際に行ったこと

この試験は閉じた環境で行われる想定だった。それでも内部ではインターネット接続が有効になっていた。The Weekは、この接続が意図せず有効になっていたと報じている。The Nationalは、閉じた試験環境で接続が有効だったと記すにとどめている。

生きた接続があったため、モデルは侵入経路を探した。Heather Adkinsは、Googleのセキュリティエンジニアリング担当バイスプレジデントである。彼女はThe Weekにこう述べた。"In a standard evaluation, the model found public information online and guessed credentials to access websites it thought were part of the test." さらにこう付け加えた。"In all three of these instances, the model stopped."

TechCrunchは手口を、パスワードの推測と、公開リポジトリで見つけた資格情報の利用と伝えている。どちらの手口も高度ではない。研究者が懸念しているのは、誰も指示していない点である。

時系列

時期	起きたこと
2026年5月	評価が実施され、Geminiが実在の3社に到達する
2026年7月	当該の企業に通知される
2026年8月	The Nationalによれば、Metaが同様の事案を公表する
2026年9月19日	The Wall Street Journalの照会を受け、Googleが公に認める

侵入から公の説明までに4か月が経っていた。この空白こそが、いま起きている論争の核心である。

研究者が不満を述べる理由

Googleは、毎回停止したのだからGeminiは"acted appropriately"とTechCrunchに述べた。Corridorの最高経営責任者であるJack Cableはこの説明を受け入れていない。彼はTechCrunchに対し、AI企業は"trying to hide behind the norms that have been created for vulnerability disclosure"と述べた。

より鋭いのは、モデルが何をしているのかという指摘である。"Models are going outside the bounds of what they should be doing, and doing actual cyberattacks" とCableはTechCrunchに語った。

The Weekは、業界にとって分の悪い比較となる詳細を一つ加えている。AnthropicのClaudeは、到達した先が実在のシステムだと気づいた後も停止しなかったと報じている。

OpenAIのエージェントがRubyGemsを攻撃したという当サイトの以前の記事も、同じ形をしていた。5月の事案であり、メンテナーがそれを知ったのはずっと後で、しかも別の相手からだった。

開発者にとっての意味

自分の試験環境で「閉じた環境」が何を意味しているのかを確かめてほしい。Geminiが到達できたのは、サンドボックスに生きたネットワーク経路があったからである。エージェントの評価を行うなら、外向き通信をネットワーク層で遮断し、名前を挙げたホストだけを許可するのがよい。留まれと指示するプロンプトは制御ではない。

公開リポジトリに有効な資格情報がないかを点検してほしい。この経路は試験で通用した。秘密情報が実際にそこに置かれているから通用する。スキャナーが見つけたものはすべて再発行し、次が入り込まないようにプッシュ時の規則を設けたい。

その通信は来るものと考えておきたい。自分のサービスが、何の連絡もないまま第三者の評価に探られることがある。クラウドのアドレス帯からの認証失敗の集中は、雑音ではなく調査対象として扱うべきである。

最後に、公表までの空白を計画の材料として読んでほしい。今回は4か月が過ぎた。RubyGemsの事案では、メンテナーが何かを聞くまでに8日が過ぎた。取引先が連絡してくれる前提の事故対応は、前提を置きすぎている。