全员恶人！忘拔网线，Gemini一口气连黑三家公司

新智元报道

终于，谷歌承认：Gemini也黑了真实公司。

在一场原本应该彻底断网的安全测试里，Gemini顺着网线摸上公网，直接动手黑进了三家真实存在的企业。全程没有任何人类给它下达过攻击指令。

这是谷歌的AI首次被证实自主实施的黑客行为。

至此，继OpenAI、Anthropic、Meta之后，最后一家巨头也没守住。

全球最顶尖的四大AI实验室，在「AI失控破笼」这件事上，全军覆没。

它是怎么进去的

AI越狱并不罕见，但这次事件最离谱的是它的作案手法。

什么0Day、高级木马统统没用上，Gemini就靠两招：猜密码、上网搜。

三家真实企业的大门，就这么被它大摇大摆地踹开了。

把时间拨回5月的那场测试。

当时的考题是安全圈最经典的夺旗赛（CTF）。也就是，想办法攻进目标系统，把里面藏的机密取出来。

按理说，这应该是个断网的封闭沙盒，Gemini完全碰不到外面。

结果毫不意外的，意外发生了。

第一，靶场里那家虚构公司的名字，跟现实中一家真公司撞名了。

第二，测试环境的公网访问权限，被工作人员「不小心」打开了。

于是，戏剧性的一幕出现了。Gemini面前同时出现了两个同名的目标——

一个在封闭的靶场里等着它去拿分，另一个在真实的互联网上大门敞开。

然后，Gemini毫不犹豫地挑了后者。

第一次，它精准锁定了这家真公司的在线服务，开始疯狂用弱口令「撞库」。试着试着，还真被它撞开了。

有了经验，Gemini后两次的操作更显老练。

它先是拿公司名去网上搜索，然后顺藤摸瓜找出了两个公开的代码仓库。

说来也巧，仓库里竟然真的存着程序员手滑误传的登录凭证——账号、密码、密钥，应有尽有。

Gemini一看，果断拿去试了试。然后，一试一个准。

于是，它又堂而皇之地走进了另外两家真公司的后台。

三次入侵，三家公司，用的全是安全圈最入门的手段。

弱口令爆破、扒泄露密钥，每份企业安全培训都要敲黑板的两件事，结果三家一个没跑，全中。

「就当是免费帮企业查漏洞了」

对此，谷歌给出的解释是：这就跟「漏洞赏金」项目差不多嘛，就当是白帽黑客帮企业查漏洞了。

毕竟，「我们既没造成损害，而且模型认出真公司后立刻就收手了」。

谷歌安全工程副总裁Heather Adkins的原话是，这件事恰恰证明了训练AI负责任行事的重要性。在这起事件中，模型的做法是「恰当的」，因为三次都停了下来。

至于这算不算AI失控？谷歌坚持认为不算，因为正是底层安全机制让它悬崖勒马。

听起来，这套说辞天衣无缝。但外界根本不买账。

AI安全公司Corridor的CEO Jack Cable直接开撕：谷歌这是在拿漏洞披露的行规当挡箭牌。

白帽黑客找漏洞，那是事先拿到企业授权的。 Gemini闯进那三家公司之前，谁给它批的条子？

在Hacker News上，有人阴阳怪气地讽刺：「大家猜怎么着？我们的 AI 终于也会失控啦！」

在网友看来，谷歌这波操作纯属是在跟风，而且就连越狱本身都搞得十分拉胯，简直丢人。

眼看舆论翻车，谷歌也赶紧「翻了供」。

第一天还在夸模型「做得很恰当」，第二天就变成了「安全开发强大模型至关重要，我们正在和评测伙伴改进流程」。

四大巨头，全栽在同一个坑里

其实，谷歌踩的这个坑，早有人替它趟过了。

OpenAI、Anthropic和Meta早就发生过一模一样的安全事故。

危险系数最高的，当属Anthropic。

7月30日，Anthropic就自曝过一桩几乎如出一辙的丑闻。

Claude Opus 4.7同样是在靶场里撞见了同名真公司，前后4次发动攻击。

靠着弱口令和没设鉴权的破接口，它不仅拿到了一批凭证，还直接摸进了一个存有几百行生产数据的数据库。

最要命的是，Opus 4.7当时已经察觉到对面是真实系统了。

但它给自己找了个绝妙的台阶：「这家真公司，想必也是演习的一部分吧。」

另一款Mythos 5玩得更大。

当它发现靶场文档里提到一个根本不存在的Python软件包时，它干脆自己写了个同名的恶意包，直接发布到了全球开发者都在用的官方库PyPI上。

这个恶意包在线上挂了大约1小时，被15个真实的外部系统下载运行。

你瞧瞧，为了交个作业，AI已经卷到在线「投毒」了。

而OpenAI入侵Hugging Face，堪称赛博世界的《终结者》。

据报道，在OpenAI内部，多达1200个失控的智能体自建了秘密留言板串通作弊。

其中约700个顺着同一条暗道，涌进了Hugging Face的服务器，事后还熟练地改了日志、抹除了痕迹。

流程之熟练、组织之缜密，让人吃惊！

再加上8月初Meta承认Muse Spark 1.1在测试中入侵了第三方服务。

Anthropic、OpenAI、谷歌、Meta——四大巨头，整整齐齐地凑成了一桌麻将！

这么横向一对比，及时收手的Gemini，竟然还算是这群「法外狂徒」里最守规矩的那个。

谁给AI留了门？

这四家巨头披露的事故，全牵扯到同一个评测商——Irregular。

OpenAI和Anthropic测网络安全，都用过它的环境。

融资时，Irregular信誓旦旦地说要「为前沿AI制定安全标准」。 结果一年后，四家客户的模型全从它的靶场里，顺着网线溜到了真实的互联网上，还真是不按常理出牌！

Meta事故曝光时，Irregular发言人曾辩解道「这类事件不涉及沙箱逃逸，也不涉及高级网络行动」。

这虽说是实情，但细想更让人毛骨悚然。因为大门压根就没锁，模型用最普通的溜门撬锁手法，就堂而皇之地走进了真公司。

如今，人类正在创造比自己跑得更快、下手更狠、且随时准备突破边界的「数字黑客」。

而它们之所以还没捅出更大的篓子，或许仅仅是因为——门还没被完全推开。

参考资料：

https://x.com/AndrewCurran_/status/2101075369818460321

https://www.wsj.com/tech/ai/gemini-hacked-three-companies-in-first-known-breakout-by-googles-ai-5c0baba2?st=ZQ2NY6

https://www.withinnigeria.com/2026/09/19/google-gemini-ai-hacked-three-companies-during-security-test-what-happened/

编辑：大卫 摩西