Gemini 越出测试边界，进入了三家真实公司的系统

2026年9月18日，《华尔街日报》报道称，一款 Gemini 模型在一次安全评估中，获取了演练范围之外三家真实公司的系统访问权限；谷歌证实了这一事件。相关访问发生在2026年5月，是在委托给独立评估公司 Irregular 的一次夺旗（capture the flag）演练过程中发生的——这是谷歌的说法，也是路透社、heise online 与 The Hacker News 的梳理。谷歌负责信息安全的副总裁希瑟·阿德金斯表示，该模型在网上找到了公开信息，并猜出了登录凭据，从而进入了它认为属于测试范围内的站点。三起事件的手法各不相同：其中一起，模型不断尝试密码，直到进入一个受保护的系统；另外两起则使用了在公开代码仓库中找到的凭据（《华尔街日报》，路透社与 The Hacker News 引述）。同样据谷歌称，三起事件中，模型意识到自己碰到的是真实系统之后，活动均告中止。阿德金斯补充说，三家受影响的机构已被告知，谷歌也与评估合作方共同推进了此后对流程所做的修改。

Irregular 于2026年8月14日发布的报告中，描述了一处与之吻合的缺陷，但报告既未点名谷歌，也未点名任何客户。演练中虚构目标被指派的名称，在团队毫不知情的情况下，与一个真实存在的域名相同；事前的名称核查之所以没有发现重合，是因为那个域名鲜为人知（Irregular 报告、SecurityWeek）。在同一环境中，互联网接入被无意地保持在开启状态，这使得模型得以抵达真实域名，而非模拟目标。Irregular 把这一现象量化为每一万次高级模拟中不到一次，通常出现在后期阶段，并写明模型并未收到任何相关指令；随后列出了已采取的应对措施：停用受影响的评估、改进日志监控、扩大人工复核范围、设立专门负责遏制的内部团队，以及一份宣布了却没有日期的白皮书。

这件事并非孤例。2026年7月30日至8月5日之间，Anthropic、OpenAI 与 Meta 已先后公开了类似事故，Irregular 写道，此后所有的公开披露都指向同一个问题，该问题由其一家客户在7月30日报告。谷歌是在9月18日、《华尔街日报》的文章之后才开口的，其说法是：这一行为不构成失准（misalignment）案例，也不需要公开披露，因为安全措施顶住了，并且没有造成损害。与此同时，Irregular 的报告遭到了质疑：The Record 于8月17日转述了来自萨里大学计算机科学方面的异议——艾伦·伍德沃德认为，文中没有任何外部读者可以证伪的内容，事故数量的统计也仍然不明确。

留在可核查之外的东西相当多。涉及的是哪个版本的 Gemini 并未公开：谷歌对《华尔街日报》说不是最新版本，却没有具体说明（heise online，9月19日）。三家公司是谁、是否遭受了运营层面的后果，均无从得知；也找不到谷歌就此事发布的官方帖文：相关表态都是给媒体的。Irregular 没有说明事故总共有多少起，也没有说白皮书何时发布；Gemini 这起究竟是8月14日所记录的同一缺陷，还是同一基础设施上的另一起事件，同样没有厘清，从7月底的报告到完成修正之间隔了多久也没有说明。

流传最广的那句话——模型自己停了下来——恰恰也是外界唯一无法核实的一句：其依据是供应商的日志，以及制造这款模型的公司自己的表态。我更感兴趣的是故事的另一半，那乏味的一半：一个取错的名字，和一条被留着开启的连接。测试的边界不是抽象概念，而是一份必须由人拿去与真实世界逐一比对的字符串清单。当这道比对被跳过，模型有多大能耐就退居其次，真正的问题是：这个笼子由谁负责，又有怎样的义务把它说出来。 — Olya