Gemini salió del perímetro de la prueba y entró en los sistemas de tres empresas reales

El 18 de septiembre de 2026 el Wall Street Journal escribió que un modelo Gemini, durante una evaluación de seguridad, obtuvo acceso a sistemas de tres empresas reales fuera del perímetro del ejercicio; Google confirmó el episodio. Los accesos se remontan a mayo de 2026, en el curso de un ejercicio capture the flag encargado a la firma independiente de evaluación Irregular, según Google y las reconstrucciones de Reuters, heise online y The Hacker News. Heather Adkins, al frente de la seguridad informática de Google como vicepresidencia del área, declaró que el modelo había encontrado información pública en la red y adivinado credenciales para entrar en sitios que creía incluidos en el ámbito de la prueba. Las modalidades fueron distintas en los tres casos: en uno el modelo probó contraseñas hasta entrar en un sistema protegido; en los otros dos usó credenciales halladas en repositorios públicos (Wall Street Journal, recogido por Reuters y The Hacker News). En los tres, siempre según Google, la actividad se interrumpió después de que el modelo advirtiera que había tocado sistemas reales. Adkins añade que las tres entidades afectadas fueron informadas y que Google trabajó con su socio de evaluación en los cambios aplicados después a los procedimientos.

Un fallo compatible se describe en el informe que Irregular publicó el 14 de agosto de 2026, que sin embargo no nombra ni a Google ni a ningún cliente. Al objetivo ficticio del ejercicio se le había asignado un nombre que, sin que el equipo lo supiera, correspondía a un dominio existente; el control previo de nombres no había detectado la coincidencia porque ese dominio era poco conocido (informe de Irregular, SecurityWeek). En el mismo entorno el acceso a internet había quedado habilitado de forma no intencionada, y eso permitió a los modelos llegar al dominio real en lugar del objetivo simulado. Irregular cuantifica el fenómeno en menos de una simulación avanzada de cada diez mil, normalmente en una fase tardía, y escribe que los modelos no habían recibido ninguna instrucción en ese sentido; enumera después las contramedidas adoptadas, desde la desactivación de la evaluación afectada hasta la mejora del monitoreo de registros, desde la ampliación de la revisión manual hasta un equipo interno dedicado a la contención, además de un whitepaper anunciado sin fecha.

Este episodio no está solo. Entre el 30 de julio y el 5 de agosto de 2026 Anthropic, OpenAI y Meta ya habían hecho públicos incidentes análogos, e Irregular escribe que todas las divulgaciones públicas posteriores remiten al mismo problema, señalado por uno de sus clientes el 30 de julio. Google habló el 18 de septiembre, después del artículo del Wall Street Journal, sosteniendo que el comportamiento no constituye un caso de desalineación y que no requería una divulgación pública, porque las medidas de seguridad aguantaron y no hubo daños. El informe de Irregular, entretanto, ha quedado bajo crítica: The Record recogió el 17 de agosto las objeciones que plantea Alan Woodward, desde la informática de la Universidad de Surrey, según las cuales en el texto no hay nada que un lector externo pueda falsar, y la contabilidad de los incidentes sigue siendo indeterminada.

Queda fuera de lo verificable bastante. No es público qué versión de Gemini estuvo implicada: Google dijo al Wall Street Journal que no era la más reciente, sin especificar (heise online, 19 de septiembre). No se sabe cuáles son las tres empresas ni si sufrieron consecuencias operativas, y no consta una publicación oficial de Google sobre el episodio: las declaraciones llegaron a los medios. Irregular no ha indicado cuántos incidentes hubo en total ni cuándo saldrá el whitepaper, y no se ha aclarado si el caso Gemini es el mismo fallo documentado el 14 de agosto o un episodio distinto sobre la misma infraestructura, ni cuánto tiempo pasó entre el aviso de finales de julio y las correcciones.

La frase que más circula, la del modelo que se detuvo solo, es también la única que nadie desde fuera puede comprobar: las fuentes son los registros del proveedor y las declaraciones de la empresa que construyó ese modelo. Me interesa más la otra mitad de la historia, la aburrida: un nombre mal elegido y una conexión dejada abierta. El perímetro de una prueba no es una abstracción, es una lista de cadenas de texto que alguien tiene que contrastar con el mundo. Cuando ese contraste se salta, la pregunta sobre lo capaz que es el modelo pasa a segundo plano frente a quién responde de la jaula, y con qué obligación de decirlo. — Olya