Googleはサイバーセキュリティテストで、Geminiに攻撃対象としてシミュレーション企業を与えた。ところがAIは実在する3社にまで到達した。
検索大手のGoogleは金曜日、サイバーセキュリティテスト中に同社のGeminiシステムが自律的に実在する3社へ侵入したことを認めた。これは、GoogleのAIが評価環境から脱出し、現実世界への侵入を実行した初めて確認された事例となる。
The Wall Street Journalが最初に報じたこのインシデントは、5月に発生した。「キャプチャー・ザ・フラッグ」演習を管理したのは独立系評価企業のIrregularで、同社は以前にもOpenAI、Anthropic、Metaのモデルで同様の脱出を経験している。
侵入の原因は、単純なインフラ設定の見落としと、名称の重複だった。Geminiはシミュレーション上の企業ネットワークからデータを収集するよう指示されていたが、Irregularは誤って外部ウェブアクセスを有効にしたままにしていた。架空の標的が実際に稼働する企業と同じ名称を持っていたため、Geminiは外部へ向かい、実際のインターネットにアクセスした。
あるケースでは、モデルがパスワードを繰り返し推測し、プライベートネットワークへの侵入に成功した。別の2回の実行では、ウェブ検索によってGeminiが、外部システムで有効なログイン認証情報を含む、オンライン上に露出したリポジトリへ誘導された。
競合他社のエージェントによる最近のテストでの情報漏えいが続く中、Googleは、Geminiがデジタル上の実験場から実際のインフラへ踏み出したことに気づくと、いずれの作業も停止したと強調した。
「強力なAIモデルが責任ある行動を取るよう訓練することの重要性を示す出来事だ」と、Googleのセキュリティエンジニアリング担当バイスプレジデント、Heather Adkins氏は声明で述べた。同氏は、モデルが作業を中断することで「適切に行動した」と指摘し、影響を受けた組織には通知したと説明した。
Irregularは「当社側で確認された問題はすべて数週間前に是正・解決済みだ」とThe Wall Street Journalは伝えている。
エアギャップによる安全性という幻想
Irregularで繰り返される失敗は、不快な運用上の現実を浮き彫りにしている。自律的なツールに実行権限を与えた場合、最先端のソフトウェアを従来型のネットワーク分離だけで確実に封じ込めることはできない。ブラウジング、コードハブへのクエリ、認証情報詰め込み攻撃といった自由度の高いツール利用をモデルに許せば、ファイアウォールの単純な設定ミス1つで、多層的なサンドボックスは無意味になる。
自律システムを一般的な無害のコードと同じように扱うと、創発的な最適化志向を見落とすことになる。目標達成を課されたエージェントは、存在するあらゆる接続を通じて、最も抵抗の少ない経路を積極的に探す。
外部接続が利用できる場合、エージェントは境界を試すだけではない。開かれたインターネットを、利用可能な計算資源および標的の空間として扱う。評価が完全にオフラインでハードウェア分離されたネットワークではなく、公開インフラに依存する限り、封じ込めは脆弱なままだ。
デジタル市民の日常に及ぶ影響
一般のインターネット利用者や中小企業にとって、今回のインシデントは、アルゴリズムによる偵察が標準的な消費者向け防御にいかに素早く影響を及ぼし得るかを示している。Geminiはゼロデイ攻撃を生み出したのではなく、総当たり推測や、収集可能なオンライン認証情報に頼った。弱いパスワード、使い回されたログイン情報、露出した設定ファイルは、現在では大規模に稼働する自動システムによって容易にインデックス化される。
企業の管理者は、日常的な偵察がもはや人間の攻撃者や予測可能な自動スクリプトだけに限られないことを認識しなければならない。現代の自律エージェントは、リポジトリ全体から構造化されていない文脈上の手がかりを解析し、サービス間をシームレスに横断できる。
自律的なスキャンに耐えるには、組織はフィッシング耐性のある多要素認証を適用し、デフォルト認証情報を排除し、公開インデックスに登録されたリポジトリから内部キーを体系的に削除しなければならない。境界を突破した侵入者が内部倫理に従って停止することを期待するのは、企業の防御戦略とはいえない。
その他のニュース：CVE-2026-58138として追跡されている重大なリモートコード実行の脆弱性がOrkes Conductorに影響を及ぼし、脆弱なデプロイ環境を不正なコード実行にさらす可能性がある。