O Gemini saiu do perímetro do teste e entrou nos sistemas de três empresas reais

A 18 de setembro de 2026 o Wall Street Journal escreveu que um modelo Gemini, durante uma avaliação de segurança, obteve acesso a sistemas de três empresas reais fora do perímetro do exercício; a Google confirmou o episódio. Os acessos remontam a maio de 2026, no decurso de um exercício capture the flag confiado à empresa independente de avaliação Irregular, segundo a Google e as reconstituições da Reuters, da heise online e do The Hacker News. Heather Adkins, à frente da segurança informática da Google como vice-presidência da área, declarou que o modelo tinha encontrado informação pública na rede e adivinhado credenciais para entrar em sites que julgava abrangidos pelo âmbito do teste. As modalidades foram diferentes nos três casos: num deles o modelo tentou palavras-passe até entrar num sistema protegido; nos outros dois usou credenciais encontradas em repositórios públicos (Wall Street Journal, retomado pela Reuters e pelo The Hacker News). Nos três, sempre segundo a Google, a atividade interrompeu-se depois de o modelo se ter dado conta de que tinha atingido sistemas reais. Adkins acrescenta que as três entidades atingidas foram informadas e que a Google trabalhou com o parceiro de avaliação nas alterações depois introduzidas nos procedimentos.

Uma falha compatível é descrita no relatório que a Irregular publicou a 14 de agosto de 2026, que, no entanto, não nomeia nem a Google nem qualquer cliente. Ao alvo fictício do exercício tinha sido atribuído um nome que, sem que a equipa o soubesse, correspondia a um domínio existente; o controlo prévio dos nomes não tinha detetado a sobreposição porque esse domínio era pouco conhecido (relatório Irregular, SecurityWeek). No mesmo ambiente o acesso à internet tinha ficado ativado de forma não intencional, e isso permitiu aos modelos chegar ao domínio verdadeiro em vez do alvo simulado. A Irregular quantifica o fenómeno em menos de uma simulação avançada em cada dez mil, em regra numa fase tardia, e escreve que os modelos não tinham recebido qualquer instrução nesse sentido; enumera depois as contramedidas adotadas, da desativação da avaliação em causa à melhoria da monitorização dos registos, do alargamento da revisão manual a uma equipa interna dedicada à contenção, além de um whitepaper anunciado sem data.

Este episódio não está sozinho. Entre 30 de julho e 5 de agosto de 2026 a Anthropic, a OpenAI e a Meta já tinham tornado públicos incidentes análogos, e a Irregular escreve que todas as divulgações públicas posteriores remetem para o mesmo problema, sinalizado por um cliente a 30 de julho. A Google falou a 18 de setembro, depois do artigo do Wall Street Journal, sustentando que o comportamento não constitui um caso de desalinhamento e não exigia divulgação pública, porque as medidas de segurança aguentaram e não houve danos. O relatório da Irregular, entretanto, ficou sob crítica: o The Record deu conta, a 17 de agosto, das objeções que Alan Woodward levanta a partir da informática da Universidade de Surrey — no texto não há nada que um leitor externo possa falsificar, e a contabilidade dos incidentes permanece indeterminada.

Fica fora do verificável bastante coisa. Não é público que versão do Gemini esteve envolvida: a Google disse ao Wall Street Journal que não era a mais recente, sem especificar (heise online, 19 de setembro). Não se sabe quais são as três empresas nem se sofreram consequências operacionais, e não há registo de uma publicação oficial da Google sobre o episódio: as declarações chegaram aos jornais. A Irregular não indicou quantos incidentes houve ao todo nem quando sairá o whitepaper, e não está esclarecido se o caso Gemini é a mesma falha documentada a 14 de agosto ou um episódio distinto na mesma infraestrutura, nem quanto tempo passou entre o alerta do fim de julho e as correções.

A frase que mais circula, a do modelo que parou sozinho, é também a única que ninguém de fora pode verificar: as fontes são os registos do fornecedor e as declarações da empresa que construiu esse modelo. Acho mais interessante a outra metade da história, a aborrecida: um nome mal escolhido e uma ligação deixada aberta. O perímetro de um teste não é uma abstração, é uma lista de cadeias de texto que alguém tem de confrontar com o mundo. Quando esse confronto falha, a pergunta sobre quão capaz é o modelo torna-se secundária face a quem responde pela jaula, e com que obrigação de o dizer. — Olya