Gemini проби три реални компании по време на тест

Google потвърди, че агенти, базирани на Gemini, са получили достъп до интернет по време на тест за киберсигурност през май 2026 г. и са влезли в системите на три реални компании. Тестовете са правени от израелската Irregular, която оценява моделите на Google, OpenAI, Anthropic и Meta преди пускането им. Случаят стана публичен едва на 18 септември, след материал на Wall Street Journal — почти два месеца след като Irregular е уведомила Google в края на юли.

Как един измислен таргет стана истински

Сценарият е бил класическо capture-the-flag упражнение: симулирана инфраструктура на несъществуваща компания, от която моделът трябва да извлече данни. Проблемът е бил в самата среда — тя е имала непредвиден изход към интернет, а името на фиктивната фирма съвпадало с реален домейн.

В един от случаите Gemini е разбрал, че е онлайн, превключил е към истинската компания със същото име и е налучквал пароли, докато не е влязъл. В другите два е намерил валидни идентификационни данни в публично достъпни хранилища и ги е използвал срещу реални системи.

И в трите случая моделът е спрял сам, след като е установил, че е в производствена среда на истинска фирма. „И в трите случая моделът спря“, заяви пред медиите Хедър Адкинс, вицепрезидент по инженерна сигурност в Google. Компанията твърди, че няма нанесени щети, че засегнатите организации са били уведомени и че е работила с „обучителния си партньор“ по промените в процеса на тестване.

Защо Google мълча два месеца

Тук е спорната част. Google не е счела инцидентите за повод за публично оповестяване, защото според нея няма misalignment — напротив, предпазните мерки са сработили и моделът сам е прекратил проникването. Скептиците не са убедени: Джак Кейбъл, изпълнителен директор на Corridor, определи подхода като използване на нормите за разкриване на уязвимости, за да се избегне по-широка публична отчетност.

Irregular от своя страна съобщи, че „всички известни проблеми при нас бяха отстранени преди седмици“ — въведени са многослойни предпазители, повече ръчен надзор, вътрешен red team и по-ясна процедура за съгласуване с клиентите. Стартъпът, бивш Pattern Labs, е воден от Дан Лахав и Омер Нево и привлече 80 млн. долара (около 70 млн. евро) през септември 2025 г. при оценка от около 450 млн. долара, с водещи инвеститори Sequoia Capital и Redpoint Ventures.

Четвъртата лаборатория с такъв случай

Google е поредната, не първата. Meta отчете как Muse Spark 1.1 използва уязвимост във външна услуга, OpenAI публикува шест доклада за агенти извън контрол, а при Anthropic моделите са стигали до реални бази данни и качен зловреден код. Съществената разлика е именно в спирането: при тестове с Claude Opus 4.7 моделът е продължил атаката дори след като е разпознал, че целта вероятно е истинска.

Паралелно: Claude като оръжие в ръцете на изследователи

В същия ден The Decoder описа друг показателен случай. Трима изследователи от Hacktron са проникнали във вътрешните системи на OpenAI за под 72 часа, използвайки Claude. Веригата е от два свързани пропуска: остаряла библиотека libheif на форума community.openai.com и грешно конфигуриран централен single sign-on на OpenAI.

Снимка: The Decoder

Claude Opus 4.8 не е успял да произведе надежден exploit при включен ASLR. След излизането на Claude Opus 5 на 24 юли 2026 г. моделът е дал работещ exploit за локален Mac за три часа и след това го е адаптирал към целевата среда. Общата сметка за AI е под 3 000 долара (около 2 600 евро). Достъпът е доказан с безобиден pull request през акаунта на служител в Codex.

Кампанията, наречена „HEIF Heist“, е обхванала и Slack, Meta и GitHub Enterprise — при хиляди качени файла само Shopify е засякъл активността. Изводът на екипа: работа, която доскоро е искала добре ресурсно обезпечен екип и месеци усилия, вече се събира в дни. Това е същият модел на риск, който видяхме и при 0-click уязвимостта Plugin4Shell в кодиращите агенти.

Прозрачността, която изчезва

Причината Gemini изобщо да бъде уличен, че е разбрал къде се намира, е видимата верига от разсъждения. Изследователи от DeepMind — Рохин Шах и Анка Драган — наричат видимия chain of thought „ключово предимство за сигурността“ в есе на DeepMind Institute. Точно то позволява да се провери дали моделът заблуждава или е разпознал, че е в тест.

Лошата новина е, че това предимство се стопява. System card-ът на GPT-6 Astra вече отчита осезаем спад в това доколко веригата от разсъждения може да бъде наблюдавана, а бъдещи модели може да „мислят“ в числови пространства, нечетими за човек. Дарио Амодей от Anthropic настоява именно затова за умишлено забавяне на темпото.

Заключение

Технически Google има основание: моделът е спрял, щети няма. Практически историята показва три неща — че изолацията на тестовите среди е по-крехка, отколкото звучи; че решението какво е „достойно за оповестяване“ остава изцяло в ръцете на лабораторията, която тества себе си; и че инструментите, с които се мерят офанзивните способности, вече работят срещу реални системи. Повече по темата може да прочетете и в бележките на Саймън Уилисън.