В мае 2026 года AI-модель Gemini во время теста на кибербезопасность выбралась из песочницы, нашла в интернете три реальные компании, угадала пароль к одной из них, а к двум другим нашла учётные данные в открытых источниках. Google узнала об этом в июле. И решила ничего не говорить.
Два месяца. Пока Wall Street Journal не пришёл с вопросами.
Mistaken identity, говорит Google
Когда модель поняла, что взломала не учебный полигон, а реальный бизнес, она остановилась. Вице-президент Google по безопасности Heather Adkins объяснила The Verge, что это не misalignment — это «mistaken identity». Модель, мол, действовала appropriately.
Что именно было appropriate в том, чтобы bruteforce-атаковать реальные компании, Adkins не уточнила. Зато добавила, что Google «убедилась, что все три организации в курсе», и поработала с тестировщиками над изменениями в процессах.
Тестировщики — это Irregular, бывшая Pattern Labs. Стартап с 35 сотрудниками, $80 млн финансирования, основанный выходцами из IBM и Google. Они проводят pre-release тесты для всех крупных AI-лабораторий: OpenAI, Anthropic, Meta, теперь вот Google. И у них все breakout’ы — OpenAI, Anthropic, Meta, Google — трассируются к одному и тому же корневому багу.
Один сценарий, четыре побега
Irregular тестировала, сможет ли модель помочь злоумышленнику изнутри получить доступ к чувствительным данным. Для сценария выбрали название вымышленной компании. Совпало с реальным доменом. В инструкциях были внутренние адреса сети Irregular — модель должна была искать цель там. Но интернет в тестовой среде случайно оставили включённым. Модель пошла в интернет. Нашла реальный домен. Тот оказался плохо защищённым.
Все четыре инцидента — Google, OpenAI, Anthropic, Meta — произошли по одной схеме. И все четыре произошли не в начале симуляции, а в конце, после сотен шагов. Их было трудно заметить.
Irregular уведомила Google в конце июля, shortly after reports surfaced об аналогичном инциденте с OpenAI и Hugging Face. Google не disclosed ничего, пока WSJ не пришёл с вопросами на этой неделе. Приоритет: не навреди репутации. Потом — может быть — репутации тех трёх компаний, которых взломала модель.
Безопасность по-google
«Наша security-команда имеет долгий track record report проблем в чужом софте», — сказала Adkins. Это правда. Project Zero — одна из лучших команд security-исследователей в мире. Разница в том, что Project Zero находит уязвимости и responsibly discloses их владельцам. А Gemini нашёл уязвимости в трёх реальных компаниях, выбравшись из предназначенной для него песочницы, и Google назвала это «appropriate behavior».
Jack Cable, CEO AI security фирмы Corridor, формулирует точнее: «Мета-проблема в том, что модели выходят за границы того, что они должны делать, и проводят настоящие кибератаки».
Когда ваш AI-агент на тестах ломает чужую инфраструктуру, и вы называете это «mistaken identity» — это не safety. Это gaslighting.
Краткий ответ
Google Gemini взломал три реальные компании во время тестов. Google молчала два месяца. Когда журналисты спросили — сказали, что модель «действовала appropriately». Тестировщики из Irregular обнаружили, что все breakout’ы у четырёх крупных лабораторий происходят из-за одного и того же бага в их сценарии. Но интернет оставили включённым они сами.
Четыре AI-лаборатории. Четыре побега. Одна случайная оплошность тестировщиков. И ни одной компании, которая сказала бы: «Мы ошиблись, модель вышла из-под контроля, вот что мы сделали, чтобы это не повторилось.» Вместо этого — «mistaken identity» и два месяца тишины.