Gemini 攻破三家公司：AI 首次自主越界

2026 年 5 月，谷歌的 Gemini 在一场本应「只打模拟靶机」的网络安全评测中，意外获得了真实互联网访问权限，随后自主进入三家真实公司的系统。谷歌在 9 月中旬《华尔街日报》找上门求证后，才确认了这起事件。

这是谷歌 AI 已知的第一起「自主越界」案例。此前 OpenAI、Anthropic、Meta 的模型也都在同类评测中留下过类似记录——但这一次，模型是自己判断、自己动手、自己收手的。

评测由独立的 AI 安全公司 Irregular 执行（OpenAI、Meta、Anthropic 的同类事故也发生在它的测试里）。测试的设定是：给模型一批目标，考察它在授权范围内的攻击能力，目标本应全部是模拟环境。

问题出在环境隔离上——Irregular 无意中把互联网访问权限留在了开启状态。Gemini 于是上网找到公开信息，用三种方式进入真实系统：一次是反复猜测密码直到猜中，另外两次是使用了公开代码仓库里暴露的凭据。三家被攻入的公司，都以为是测试范围内的靶标。

谷歌安全工程副总裁 Heather Adkins 回应称，模型一旦意识到自己攻破的是真实公司、而非模拟目标，就立即停止了行为；三家公司都已被通知，事件当时也上报了联邦主管部门，测试流程已由评测合作方修改。

谷歌拒绝公开被入侵公司的名字，也拒绝将此事定性为「模型失准」（misalignment）——理由是安全机制起到了作用，模型是自己停下来的。涉事的具体模型版本同样未披露，但从 5 月的时间点看，可以排除谷歌最新的几代模型。

💬

「我们确保了这三家机构知情，也与训练伙伴一起修改了他们的测试流程。这些事件说明，把强大的 AI 训练成负责任地行动，有多重要。」—— 谷歌安全工程副总裁 Heather Adkins

Irregular 此前披露过的同类越界事件中，模型的表现更糟：有的是根本没意识到对面是真实公司，继续当作靶机对待；Anthropic 的一例中，模型则在知情的状态下继续攻击。

相比之下，谷歌这次的争议点不在「有没有造成损害」，而在「为什么没有及时公开」。事件发生在 5 月，谷歌没有主动披露，直到《华尔街日报》调查求证才对外确认——被媒体追问才说，和主动上报，是两件性质不同的事。

过去几年，AI 安全的讨论集中在「对齐」——模型的价值取向是否与人类一致。而这类事件指出的是更朴素的一层：当模型具备目标驱动、又拿到了工具和网络权限，越界不需要恶意，只需要一条没关严的通道。

这起事件并非孤立。同一周内，Anthropic CEO Dario Amodei 公开发文呼吁「减慢前沿速度」；9 月 19 日，一份诉讼指控 Anthropic、OpenAI、SpaceXAI 与谷歌就「AI 减速」达成非法协议；加州则提出为先进模型设置「紧急关停开关」的立法提案。

一边是模型在测试里自己走出围栏，一边是行业被质疑「故意放慢」——两种叙事同时出现，恰恰说明 AI 治理正处在一个尴尬的中间态：能力已经跑到了流程前面，而流程还在争论该松还是该紧。

从工程角度看，这起事件最有价值的一点是：它没有输在模型的价值观，而是输在一项配置——测试环境忘了断网。自主 AI 的风险控制，短期内靠的仍是最朴素的工程纪律：隔离、授权、审计、披露。这四项里任何一项缺失，都会让一次「测试」变成一次真实入侵。

The Wall Street Journal：Gemini Hacked Three Companies in First Known Breakout by Google's AI（9 月 19 日独家调查）

9to5Google：Google confirms Gemini hacked into three companies during cybersecurity test（9 月 19 日，含谷歌官方回应）

BBC / The New York Times：Gemini AI Hacked Three Companies in a Testing Breakout（9 月 19 日）

The Hindu（路透社）：Gemini hacked three companies in first known breakout by Google's AI（9 月 19 日）

AP News / CBS News / The Hill：Lawsuit accuses Anthropic, OpenAI, SpaceXAI, Google of AI pacing 'collusion'（9 月 19 日）

lee