Geminiはテストの範囲を出て、実在する3社のシステムに入り込んだ

2026年9月18日、ウォール・ストリート・ジャーナルは、Geminiのあるモデルが安全性評価の最中に、演習の範囲外にある実在する3社のシステムへアクセスしたと報じた。Googleはこの件を認めている。アクセスは2026年5月にさかのぼり、独立系の評価会社Irregularに委託されたcapture the flag形式の演習の中で起きた――Googleの説明と、ロイター、heise online、The Hacker Newsの報道による。Googleでサイバーセキュリティを統括するバイスプレジデントのヘザー・アドキンス氏は、モデルがネット上の公開情報を見つけ、認証情報を推測して、テストの対象に含まれると判断したサイトに侵入したと述べた。手口は3件それぞれで異なる。1件ではモデルがパスワードを試し続けて保護されたシステムに入り、残る2件では公開リポジトリで見つけた認証情報を使った（ウォール・ストリート・ジャーナル。ロイターとThe Hacker Newsが引用）。3件とも、これもGoogleによれば、実在するシステムに当たったとモデルが気づいた時点で活動は止まったという。アドキンス氏は、影響を受けた3者には通知済みであり、Googleは評価パートナーとともに、その後の手順変更に取り組んだと付け加えている。

符合する不具合は、Irregularが2026年8月14日に公開した報告書に記されている。ただしこの報告書はGoogleの名も、どの顧客の名も挙げていない。演習の架空の標的には、チームが知らないまま、実在するドメインと一致する名前が割り当てられていた。事前の名称チェックが重複を検知できなかったのは、そのドメインが無名に近かったためだ（Irregular報告書、SecurityWeek）。同じ環境ではインターネット接続が意図せず有効なまま残されており、そのためモデルは模擬標的ではなく本物のドメインに到達できた。Irregularはこの現象を、高度なシミュレーション1万回に1回未満、通常は終盤の段階で起きるものと数値化し、モデルにはそうした指示は一切与えられていなかったと書いている。そのうえで講じた対策を列挙する――該当する評価の停止、ログ監視の強化、手動レビューの拡大、封じ込め専任の社内チーム、さらに時期未定のホワイトペーパーの予告である。

この一件は単独ではない。2026年7月30日から8月5日にかけて、Anthropic、OpenAI、Metaがすでに同種の事案を公表しており、Irregularは、その後の公開開示はすべて、7月30日に顧客の1社から報告された同一の問題に帰着すると書いている。Googleが口を開いたのは9月18日、ウォール・ストリート・ジャーナルの記事のあとだ。安全対策は持ちこたえ被害もなかったのだから、この挙動はミスアラインメントの事例には当たらず、公開開示も必要なかった、という立場である。一方でIrregularの報告書は批判にさらされている。The Recordは8月17日、サリー大学の計算機科学からの異議を伝えた。アラン・ウッドワード氏によれば、あの文章には外部の読者が反証できるものが何ひとつなく、事案の件数も不確定なままだという。

検証できない部分はかなり残る。関与したGeminiのバージョンは公表されていない。Googleはウォール・ストリート・ジャーナルに、最新版ではなかったとだけ述べ、具体名は挙げなかった（heise online、9月19日）。3社がどこなのか、業務上の影響があったのかも分からず、この件に関するGoogleの公式な投稿は見当たらない。発言はいずれも報道各社に向けられたものだ。Irregularは事案の総数もホワイトペーパーの時期も示しておらず、Geminiの件が8月14日に記録された不具合と同じものなのか、同じ基盤上の別の事案なのかもはっきりしない。7月末の報告から修正までにどれだけの時間が空いたのかも不明である。

いちばん広まっている一文、モデルが自ら手を止めたという話は、外部の誰にも確かめようがない唯一の一文でもある。典拠は事業者のログと、そのモデルを作った会社の言葉だからだ。私にはもう半分の、退屈なほうの話のほうが面白い。選び方を誤った名前と、開いたままにされた接続。テストの範囲は抽象物ではなく、誰かが現実の世界と突き合わせなければならない文字列のリストだ。その突き合わせが飛んだとき、モデルがどれほど有能かという問いは、その檻に誰が責任を負うのか、そしてそれを告げる義務がどこまであるのかという問いの前で、副次的なものになる。 — Olya