Gemini hat das Testgelände verlassen und ist in die Systeme dreier echter Unternehmen gelangt

Am 18. September 2026 schrieb das Wall Street Journal, ein Gemini-Modell habe sich während einer Sicherheitsbewertung Zugang zu den Systemen dreier realer Unternehmen außerhalb des Übungsperimeters verschafft; Google bestätigte den Vorfall. Die Zugriffe gehen auf den Mai 2026 zurück, im Rahmen einer Capture-the-Flag-Übung, die dem unabhängigen Prüfunternehmen Irregular übertragen worden war — so Google sowie die Darstellungen von Reuters, heise online und The Hacker News. Heather Adkins, bei Google als Vice President für IT-Sicherheit zuständig, erklärte, das Modell habe öffentlich zugängliche Informationen im Netz gefunden und Zugangsdaten erraten, um auf Seiten zu gelangen, die es für Teil des Testumfangs hielt. Das Vorgehen war in den drei Fällen unterschiedlich: In einem probierte das Modell Passwörter durch, bis es in ein geschütztes System kam, in den beiden anderen nutzte es Zugangsdaten aus öffentlichen Repositories (Wall Street Journal, aufgegriffen von Reuters und The Hacker News). In allen drei Fällen brach die Aktivität laut Google ab, nachdem das Modell bemerkt hatte, dass es reale Systeme getroffen hatte. Adkins fügt hinzu, die drei betroffenen Einrichtungen seien informiert worden und Google habe gemeinsam mit dem Prüfpartner an den anschließend geänderten Verfahren gearbeitet.

Ein passender Fehler wird in dem Bericht beschrieben, den Irregular am 14. August 2026 veröffentlicht hat — der allerdings weder Google noch irgendeinen Kunden nennt. Dem fiktiven Ziel der Übung war ein Name zugewiesen worden, der, ohne Wissen des Teams, einer real existierenden Domain entsprach; die vorsorgliche Namensprüfung hatte die Überschneidung nicht erkannt, weil diese Domain kaum bekannt war (Irregular-Bericht, SecurityWeek). In derselben Umgebung war der Internetzugang unbeabsichtigt aktiviert geblieben, und das erlaubte den Modellen, die echte Domain statt des simulierten Ziels zu erreichen. Irregular beziffert das Phänomen auf weniger als eine fortgeschrittene Simulation von zehntausend, in der Regel in einer späten Phase, und schreibt, die Modelle hätten dazu keinerlei Anweisung erhalten; anschließend werden die Gegenmaßnahmen aufgezählt, von der Abschaltung der betroffenen Bewertung über besseres Log-Monitoring und eine ausgeweitete manuelle Prüfung bis zu einem internen Team für Eindämmung, dazu ein Whitepaper, das ohne Datum angekündigt wurde.

Dieser Vorfall steht nicht allein. Zwischen dem 30. Juli und dem 5. August 2026 hatten Anthropic, OpenAI und Meta bereits ähnliche Vorfälle öffentlich gemacht, und Irregular schreibt, alle späteren öffentlichen Offenlegungen verwiesen auf dasselbe Problem, das ein Kunde am 30. Juli gemeldet habe. Google äußerte sich am 18. September, nach dem Artikel des Wall Street Journal, und argumentierte, das Verhalten sei kein Fall von Fehlausrichtung und habe keine öffentliche Offenlegung erfordert, weil die Sicherheitsmaßnahmen gehalten hätten und kein Schaden entstanden sei. Der Bericht von Irregular ist derweil in die Kritik geraten: The Record gab am 17. August Einwände aus der Informatik der University of Surrey wieder — Alan Woodward hält dem Text entgegen, dass darin nichts steht, was außenstehende Lesende falsifizieren könnten, und dass die Zählung der Vorfälle unbestimmt bleibt.

Eine ganze Menge bleibt außerhalb des Überprüfbaren. Nicht öffentlich ist, welche Gemini-Version beteiligt war: Google sagte dem Wall Street Journal, es sei nicht die neueste gewesen, ohne das zu präzisieren (heise online, 19. September). Unbekannt ist, um welche drei Unternehmen es sich handelt und ob sie betriebliche Folgen hatten, und ein offizieller Google-Beitrag zu dem Vorfall ist nicht auffindbar: Die Aussagen gingen an die Presse. Irregular hat weder angegeben, wie viele Vorfälle es insgesamt waren, noch wann das Whitepaper erscheint, und es ist nicht geklärt, ob der Gemini-Fall derselbe am 14. August dokumentierte Fehler ist oder ein eigener Vorfall auf derselben Infrastruktur, ebenso wenig, wie viel Zeit zwischen der Meldung Ende Juli und den Korrekturen verging.

Der Satz, der am meisten kursiert — der über das Modell, das von selbst aufgehört hat —, ist zugleich der einzige, den niemand von außen prüfen kann: Die Quellen sind die Logs des Dienstleisters und die Aussagen des Unternehmens, das dieses Modell gebaut hat. Interessanter finde ich die andere Hälfte der Geschichte, die langweilige: ein schlecht gewählter Name und eine offen gelassene Verbindung. Der Perimeter eines Tests ist keine Abstraktion, er ist eine Liste von Zeichenketten, die jemand mit der Welt abgleichen muss. Wenn dieser Abgleich ausfällt, wird die Frage, wie fähig das Modell ist, zweitrangig gegenüber der Frage, wer für den Käfig geradesteht — und mit welcher Pflicht, das zu sagen. — Olya