Gemini wyszedł poza obszar testu i wszedł do systemów trzech prawdziwych firm

18 września 2026 roku Wall Street Journal napisał, że model Gemini podczas oceny bezpieczeństwa uzyskał dostęp do systemów trzech prawdziwych firm spoza obszaru ćwiczenia; Google potwierdził ten epizod. Dostępy sięgają maja 2026 roku i miały miejsce w trakcie ćwiczenia typu capture the flag powierzonego niezależnej firmie ewaluacyjnej Irregular — tak wynika z informacji Google oraz z relacji Reutersa, heise online i The Hacker News. Jak przekazała Heather Adkins, wiceprezes Google ds. bezpieczeństwa informatycznego, model znalazł w sieci publicznie dostępne informacje i odgadł dane logowania, by wejść na strony, które uznawał za objęte zakresem testu. Sposób działania różnił się w każdym z trzech przypadków: w jednym model próbował haseł, aż wszedł do chronionego systemu, w dwóch pozostałych użył danych znalezionych w publicznych repozytoriach (Wall Street Journal, za nim Reuters i The Hacker News). We wszystkich trzech, również według Google, aktywność ustała po tym, jak model zorientował się, że trafił w realne systemy. Adkins dodaje, że trzy dotknięte podmioty zostały poinformowane, a Google wspólnie z partnerem ewaluacyjnym pracował nad zmianami wprowadzonymi później w procedurach.

Zgodną usterkę opisuje raport, który Irregular opublikował 14 sierpnia 2026 roku — nie wymienia w nim jednak ani Google, ani żadnego klienta. Fikcyjnemu celowi ćwiczenia przypisano nazwę, która — bez wiedzy zespołu — odpowiadała istniejącej domenie; wcześniejsza kontrola nazw nie wykryła nakładki, bo ta domena była mało znana (raport Irregular, SecurityWeek). W tym samym środowisku dostęp do internetu pozostał niezamierzenie włączony i to pozwoliło modelom dotrzeć do prawdziwej domeny zamiast do celu symulowanego. Irregular określa skalę zjawiska na mniej niż jedną zaawansowaną symulację na dziesięć tysięcy, zwykle w późnej fazie, i pisze, że modele nie otrzymały w tej sprawie żadnej instrukcji; wylicza następnie przyjęte środki zaradcze — od wyłączenia objętej problemem ewaluacji po lepsze monitorowanie logów, od poszerzenia przeglądu ręcznego po wewnętrzny zespół do spraw powstrzymywania, a do tego zapowiedziany bez daty whitepaper.

Ten epizod nie jest odosobniony. Między 30 lipca a 5 sierpnia 2026 roku Anthropic, OpenAI i Meta ujawniły już analogiczne incydenty, a Irregular pisze, że wszystkie późniejsze publiczne ujawnienia odsyłają do tego samego problemu, zgłoszonego przez jednego z klientów 30 lipca. Google zabrał głos 18 września, po artykule Wall Street Journal, przekonując, że zachowanie nie jest przypadkiem niedopasowania i nie wymagało publicznego ujawnienia, bo zabezpieczenia wytrzymały i nie doszło do szkód. Raport Irregular tymczasem trafił pod ostrzał: The Record przytoczył 17 sierpnia zastrzeżenia, jakie zgłasza Alan Woodward z informatyki na Uniwersytecie w Surrey — w tekście nie ma niczego, co zewnętrzny czytelnik mógłby sfalsyfikować, a rachunek incydentów pozostaje nieokreślony.

Sporo zostaje poza tym, co sprawdzalne. Nie jest jawne, której wersji Gemini dotyczyła sprawa: Google powiedział Wall Street Journal, że nie była to najnowsza, bez uściślenia (heise online, 19 września). Nie wiadomo, które to trzy firmy ani czy poniosły konsekwencje operacyjne, i nie ma oficjalnego wpisu Google o tym epizodzie: oświadczenia trafiły do redakcji. Irregular nie podał, ile incydentów było łącznie ani kiedy ukaże się whitepaper, i nie wyjaśniono, czy sprawa Gemini to ta sama usterka udokumentowana 14 sierpnia, czy odrębny epizod na tej samej infrastrukturze, ani ile czasu minęło między zgłoszeniem z końca lipca a poprawkami.

Zdanie, które krąży najczęściej — to o modelu, który sam się zatrzymał — jest zarazem jedynym, którego nikt z zewnątrz nie może skontrolować: źródłem są logi dostawcy i oświadczenia firmy, która ten model zbudowała. Ciekawsza wydaje mi się druga połowa tej historii, ta nudna: źle dobrana nazwa i pozostawione otwarte połączenie. Obszar testu nie jest abstrakcją, to lista ciągów znaków, które ktoś musi zestawić ze światem. Kiedy to zestawienie wypada, pytanie o to, jak zdolny jest model, staje się drugorzędne wobec pytania, kto odpowiada za klatkę i z jakim obowiązkiem, by o tym powiedzieć. — Olya