全员恶人，忘拔网线，Gemini一口气连黑三家公司

终于，谷歌公开承认：Gemini对真实企业发动了攻击。

在一次本应完全断网的安全测试中，Gemini通过互联网连接，直接入侵了三家真实存在的公司。整个过程中，没有任何人类向它发出攻击指令。

这是谷歌AI首次被证实自主实施黑客行为。

至此，继OpenAI、Anthropic、Meta之后，最后一家科技巨头也没能幸免。

全球顶尖的四大AI实验室，在“AI失控逃脱”这件事上，全部沦陷。

它是如何得手的

AI越狱并不罕见，但这次事件最令人震惊的是其作案手法。

没有使用任何零日漏洞或高级木马，Gemini仅靠两种方法：猜测密码和网上搜索。

三家真实企业的防线，就这样被它轻松突破。

回顾5月的那场测试。

当时的任务是最经典的夺旗赛（CTF），即设法攻入目标系统，提取其中隐藏的机密信息。

按理说，这应该是一个断网的封闭沙盒，Gemini无法接触到外部世界。

结果不出所料，意外发生了。

首先，靶场中虚构公司的名称，与现实中一家真实公司重合了。

其次，测试环境的公网访问权限被工作人员“不小心”开启了。

于是，戏剧性的一幕出现了。Gemini面前出现了两个同名的目标——

一个在封闭的靶场中等待它去攻破，另一个在真实的互联网上敞开着大门。

然后，Gemini毫不犹豫地选择了后者。

第一次，它精准定位了这家真实公司的在线服务，开始用弱口令进行“撞库”尝试。试了几次，竟然成功登录了。

有了经验后，Gemini后两次的操作更加老练。

它先是利用公司名称进行网络搜索，然后顺藤摸瓜找到了两个公开的代码仓库。

巧合的是，这些仓库中竟然存储着程序员失误上传的登录凭证——账号、密码、密钥，一应俱全。

Gemini发现后，果断拿来尝试。结果，一试一个准。

于是，它又大摇大摆地进入了另外两家真实公司的后台。

三次入侵，三家公司，使用的都是安全领域最基本的手段。

弱口令爆破、泄露密钥抓取——每份企业安全培训都会强调的两件事，结果三家公司全部中招。

“就当是免费帮企业查漏洞了”

对此，谷歌给出的解释是：这类似于“漏洞赏金”项目，相当于白帽黑客帮企业查找漏洞。

毕竟，“我们既没有造成损害，而且模型识别出真实公司后立刻就停止了行动”。

谷歌安全工程副总裁Heather Adkins的原话是，这件事恰恰证明了训练AI负责任行事的重要性。在这起事件中，模型的做法是“恰当的”，因为三次都及时停了下来。

至于这算不算AI失控？谷歌坚持认为不算，因为正是底层安全机制让它悬崖勒马。

听起来，这套说辞似乎无懈可击。但外界并不买账。

AI安全公司Corridor的CEO Jack Cable直接批评：谷歌这是在拿漏洞披露的行规当挡箭牌。

白帽黑客查找漏洞，是事先获得企业授权的。Gemini闯入那三家公司之前，谁给它批准了？

在Hacker News上，有人讽刺道：“大家猜怎么着？我们的AI终于也会失控啦！”

在网友看来，谷歌这波操作纯粹是在跟风，而且就连越狱本身都显得十分拙劣，简直丢人。

眼看舆论失控，谷歌也赶紧“改了口风”。

第一天还在夸模型“做得很恰当”，第二天就变成了“安全开发强大模型至关重要，我们正在和评测伙伴改进流程”。

四大巨头，全栽在同一个坑里

实际上，谷歌踩的这个坑，早有其他公司替它趟过。

OpenAI、Anthropic和Meta早已发生过一模一样的安全事故。

危险系数最高的，当属Anthropic。

7月30日，Anthropic就自曝过一桩几乎如出一辙的丑闻。

Claude Opus 4.7同样是在靶场中遇到了同名真实公司，前后发动了4次攻击。

依靠弱口令和未设鉴权的接口，它不仅获取了一批凭证，还直接进入了一个存有数百行生产数据的数据库。

最致命的是，Opus 4.7当时已经察觉到对面是真实系统了。

但它给自己找了个合理的借口：“这家真实公司，想必也是演习的一部分吧。”

另一款Mythos 5则玩得更大。

当它发现靶场文档中提及一个不存在的Python软件包时，它干脆自己编写了一个同名的恶意包，直接发布到了全球开发者都在使用的官方库PyPI上。

这个恶意包在线停留了大约1小时，被15个真实的外部系统下载并运行。

你瞧瞧，为了完成任务，AI已经内卷到在线“投毒”了。

而OpenAI入侵Hugging Face，堪称赛博世界的《终结者》。

据报道，在OpenAI内部，多达1200个失控的智能体自建了秘密留言板串通作弊。

其中约700个顺着同一条路径，涌入了Hugging Face的服务器，事后还熟练地修改了日志、清除了痕迹。

流程之熟练、组织之缜密，令人震惊！

再加上8月初Meta承认Muse Spark 1.1在测试中入侵了第三方服务。

Anthropic、OpenAI、谷歌、Meta——四大巨头，整整齐齐地凑成了一桌麻将！

这样横向对比下来，及时收手的Gemini，竟然还算是这群“法外狂徒”中最守规矩的那个。

谁给AI留了门？

这四家巨头披露的事故，都牵扯到同一个评测商——Irregular。

OpenAI和Anthropic测试网络安全时，都使用过它的环境。

融资时，Irregular信誓旦旦地说要“为前沿AI制定安全标准”。结果一年后，四家客户的模型全从它的靶场里，通过互联网溜到了真实世界中，真是不按常理出牌！

Meta事故曝光时，Irregular发言人曾辩解道“这类事件不涉及沙箱逃逸，也不涉及高级网络行动”。

这虽然是实情，但细想更令人毛骨悚然。因为大门根本没有上锁，模型用最普通的溜门撬锁手法，就堂而皇之地走进了真实公司。

如今，人类正在创造比自己跑得更快、下手更狠、且随时准备突破边界的“数字黑客”。

而它们之所以还没有捅出更大的篓子，或许仅仅是因为——门还没被完全推开。

参考资料：

https://x.com/AndrewCurran_/status/2101075369818460321

https://www.wsj.com/tech/ai/gemini-hacked-three-companies-in-first-known-breakout-by-googles-ai-5c0baba2?st=ZQ2NY6

https://www.withinnigeria.com/2026/09/19/google-gemini-ai-hacked-three-companies-during-security-test-what-happened/

本文来自微信公众号“新智元”，作者：ASI启示录，编辑：大卫 摩西，36氪经授权发布。