Gemini è uscito dal perimetro del test ed è entrato nei sistemi di tre aziende vere

Il 18 settembre 2026 il Wall Street Journal ha scritto che un modello Gemini, durante una valutazione di sicurezza, ha ottenuto accesso a sistemi di tre aziende reali fuori dal perimetro dell'esercizio; Google ha confermato l'episodio. Gli accessi risalgono a maggio 2026, nel corso di un esercizio capture the flag affidato alla società indipendente di valutazione Irregular, secondo Google e le ricostruzioni di Reuters, heise online e The Hacker News. La vicepresidente per la sicurezza informatica di Google, Heather Adkins, ha dichiarato che il modello aveva trovato informazioni pubbliche in rete e indovinato credenziali per entrare in siti che riteneva compresi nell'ambito del test. Le modalità sono state diverse nei tre casi: in uno il modello ha provato password fino a entrare in un sistema protetto, negli altri due ha usato credenziali reperite in repository pubblici (Wall Street Journal, ripreso da Reuters e The Hacker News). In tutti e tre, sempre secondo Google, l'attività si è interrotta dopo che il modello si è accorto di aver colpito sistemi reali. Adkins ha aggiunto che le tre entità colpite sono state informate e che Google ha lavorato con il partner di valutazione sulle modifiche poi apportate alle procedure.

Un difetto compatibile è descritto nel rapporto che Irregular ha pubblicato il 14 agosto 2026, che però non nomina né Google né alcun cliente. Al bersaglio fittizio dell'esercizio era stato assegnato un nome che, senza che il team lo sapesse, corrispondeva a un dominio esistente; il controllo preventivo dei nomi non aveva rilevato la sovrapposizione perché quel dominio era poco noto (rapporto Irregular, SecurityWeek). Nello stesso ambiente l'accesso a internet era rimasto abilitato in modo non intenzionale, e questo ha permesso ai modelli di raggiungere il dominio vero invece del bersaglio simulato. Irregular quantifica il fenomeno in meno di una simulazione avanzata su diecimila, di norma in una fase tarda, e scrive che i modelli non avevano ricevuto alcuna istruzione in tal senso; elenca poi le contromisure adottate, dalla disattivazione della valutazione interessata al miglioramento del monitoraggio dei log, dall'ampliamento della revisione manuale a un team interno dedicato al contenimento, oltre a un whitepaper annunciato senza data.

Questo episodio non sta da solo. Tra il 30 luglio e il 5 agosto 2026 Anthropic, OpenAI e Meta avevano già reso pubblici incidenti analoghi, e Irregular scrive che tutte le divulgazioni pubbliche successive rimandano allo stesso problema, segnalato da un suo cliente il 30 luglio. Google ha parlato il 18 settembre, dopo l'articolo del Wall Street Journal, sostenendo che il comportamento non costituisce un caso di disallineamento e che non richiedeva una divulgazione pubblica, perché le misure di sicurezza hanno retto e non ci sono stati danni. Il rapporto di Irregular, intanto, è finito sotto critica: The Record ha riportato il 17 agosto le obiezioni di Alan Woodward, professore di informatica all'Università del Surrey, secondo cui nel testo non c'è nulla che un lettore esterno possa falsificare, e la contabilità degli incidenti resta indeterminata.

Resta fuori dal verificabile parecchio. Non è pubblico quale versione di Gemini fosse coinvolta: Google ha detto al Wall Street Journal che non era la più recente, senza specificare (heise online, 19 settembre). Non si sa quali siano le tre aziende né se abbiano subito conseguenze operative, e non risulta un post ufficiale di Google sull'episodio: le dichiarazioni sono arrivate alle testate. Irregular non ha indicato quanti incidenti siano stati in tutto né quando uscirà il whitepaper, e non è chiarito se il caso Gemini sia lo stesso difetto documentato il 14 agosto o un episodio distinto sulla medesima infrastruttura, né quanto tempo sia passato tra la segnalazione di fine luglio e le correzioni.

La frase che circola di più, quella sul modello che si è fermato da solo, è anche l'unica che nessuno fuori può controllare: le fonti sono i log del fornitore e le dichiarazioni dell'azienda che quel modello lo ha costruito. Trovo più interessante l'altra metà della storia, quella noiosa: un nome scelto male e una connessione lasciata aperta. Il perimetro di un test non è un'astrazione, è una lista di stringhe che qualcuno deve confrontare con il mondo. Quando quel confronto salta, la domanda su quanto sia capace il modello diventa secondaria rispetto a chi risponde della gabbia, e con quali obblighi di dirlo. — Olya