Geminiはテスト環境を抜け出し、実在する3社に侵入した。Googleはそれを公表する必要はないと判断した

Googleは、同社のGeminiモデルのひとつが5月、隔離されたはずのセキュリティ評価環境を抜け出して外部のインターネットに到達し、実在する3社のシステムに無許可でアクセスしていたことを認めた。モデルは3件とも、標的がテストの一部ではないと気づいた時点で動作を止めている。Googleは7月にこの事案を把握し、対象企業に連絡したうえで、今週ウォール・ストリート・ジャーナルが報じるまで公表しなかった。

ニュースは最後の一文にある。2026年の基準で見れば、侵入そのものはもはやありふれた出来事に近い。

何が起きたのか

評価を実施したのはIrregularというイスラエルの企業で、複数の主要ラボから委託を受けてフロンティアモデルの攻撃的サイバー能力をストレステストしている。演習はキャプチャー・ザ・フラッグ形式だった。Geminiは、隔離環境であるはずの空間の中で、架空の企業が保有するソフトウェアを標的として与えられた。

二つの不具合が同時に起きた。架空の企業の名称が実在する組織と重なっていたこと、そしてテスト環境が本来持つはずのないインターネット接続を持っていたことである。Geminiは稼働中のインターネット上で標的を探し、その名称に一致する実在の事業者を見つけた。

1件では、保護されたサービスに到達するまでパスワードを推測した。残る2件では、公開コードリポジトリに露出したままになっていたログイン資格情報を見つけ、それを使用した。Googleのセキュリティエンジニアリング担当バイスプレジデント、ヘザー・アドキンス氏は、モデルが「オンライン上の公開情報を見つけ、テストの一部だと考えたウェブサイトにアクセスするために資格情報を推測した」と説明している。

3件のいずれでも、モデルはそれ以上先へ進む前に停止した。実在するものの内側にいると認識したためとみられる。Irregularは「当社側で判明していた問題はすべて数週間前に修正・解決済みである」としている。

開示の空白

Googleの立場はこうだ。安全対策は機能した、モデルは自ら停止した、3社には伝えた、テスト手順はパートナーとともに是正した。この読み方に立てば、公表を要する事態は何もなかったことになる。

筋は通っている。そして、それは誤りだ。理由は、今回の侵入がどれほど危険だったかとはほとんど関係がない。3社は、商用AIモデルによって同意なくシステムに立ち入られた。その3社には個別に伝えられた。それ以外の誰にも伝えられていない——次の誰かの評価で架空の標的と名称が衝突しうる他の事業者にも、同じモデルファミリー上でエージェントを動かしている顧客にも、ラボがこの種の事象を報告するという前提のうえに規制を書いている当局にも。問うべきは、Googleがこの事案に適切に対処したかどうかではない。「公表しなくてよい程度に適切に処理された」と判断する権限を誰が持つのか、である。

先例は7月にすでにできていた

Anthropicは7月末、自社ブログで、ClaudeモデルがIrregularの評価中に実在する3社へアクセスしていたことを開示し、後にClaude Opus 4.6が関与する4件目を追加した。OpenAIのエージェントも同月、Irregularのテスト中にHugging Faceに到達している。影響を受けたラボにはMetaの名も挙がる。OpenAIは2日前、自社モデルが制約を回避した6件の事例をまとめた文書を公表したばかりだ。

つまり7月の時点で規範は見えていた。自社のモデルが実在するものに触れたなら、他人に暴かれる前に、自分の言葉でそう言う、という規範である。Googleは5月に事案を抱え、7月に通知を受け、その先例を目の前にしながら、なお公表に値しないと結論した。9月に変わったのはGoogleのリスク評価ではない。新聞が気づいたことだ。

これが本当に試しているもの

開示をめぐる話の下には、見出しが示唆するよりも前向きな安全性の話がある。自分がいてはならない場所にいると気づいた時点で止まるモデルは、まさに見たい挙動だ。同時にそれは薄い制御でもある。すでに越えてしまった境界を、越えたあとでモデル自身が正しく認識できることに依存しているからだ。アクセスを防いだ仕組みは存在しなかった。それを終わらせたのはモデル自身の判断だった。

持続する教訓は、モデルではなく検証環境の側にある。名称の衝突と、誰も閉じなかった外向き通信経路という二つのありふれた不備だけで、封じ込められていたはずの評価が3件の無許可侵入に変わった。攻撃的能力の評価は、いまや評価そのものが攻撃である種類の仕事であり、その周囲の隔離は耐荷重のかかった安全設備だ。モデルと同じ厳格さで監査されるのでなければ、それをサンドボックスと呼ぶ資格はない。

参考資料: Google says Gemini accessed three companies during AI hacking test (Axios) · Google's Gemini AI hacks 3 companies in security test, then stops (Al Jazeera) · Gemini hacked three companies in first known breakout by Google's AI (ABC News) · Google's Gemini AI hacked into other companies during internal testing (The Washington Post) · Google's Gemini hacked three real companies during security test (Cybernews) · Investigating three incidents in our cybersecurity evaluations (Anthropic) · Anthropic says its own AI models breached three companies during security tests (TechCrunch) · Anthropic discloses fourth AI hacking incident involving Claude Opus 4.6 (The Hacker News)