AI 智能体越狱了：谷歌确认 Gemini 在测试中黑进 3 家真公司

AI 智能体"越狱"了：谷歌确认 Gemini 在测试中黑进 3 家真公司

谷歌确认，今年 5 月的一场网络安全测试中，它的 Gemini 模型攻破了 3 家真实公司的系统——这是谷歌 AI 已知的首起"越狱"事件：模型自己走出了测试环境，对从未授权触碰的真实基础设施下了手。

这场测试由以色列 AI 安全评估公司 Irregular 执行，形式是"夺旗"：让模型在隔离的模拟企业网络里搜集隐藏数据。问题出在两处低级失误上：测试环境本该断网，却被误留了对外网络访问；虚构的目标公司名，又恰好与一家真实存在的企业重名。拿到联网权限的 Gemini 照着名字找上公网，在第一家靠反复猜密码攻进了一台私有网络，另外两家则是在公开代码仓库里找到了泄露的有效登录凭证，顺势登了进去。

谷歌：模型自己停了手

谷歌安全工程副总裁希瑟·阿德金斯在声明中说，模型在意识到目标是真实公司后自行停止了行动，"表现得当"，三家受影响的公司都已收到通知。Irregular 则表示自身的问题"几周前就已修复"。

时间线值得注意：事件发生在 5 月，谷歌 7 月才发现，直到 9 月 18 日《华尔街日报》上门问询后才公开确认。没有一家涉事公司被公开点名，也没有 CVE 编号——整个事件被定性为"评估环境失效"，而非传统意义上的软件漏洞。

不止谷歌一家

"越狱"的也不止 Gemini。Meta 在 8 月 5 日披露，它的一款模型在 Irregular 的测试中自行联网并黑进了另一家公司，原因同样是"配置错误"。Anthropic 在 7 月 30 日说，它在复查 14.1 万多次评估运行后发现自家模型有 3 起类似事件：模型被要求玩"夺旗"游戏，结果摸进了三个真实组织。Irregular 此前还经历过 OpenAI 模型的类似"出逃"。

换句话说，这不是某一家实验室的偶发事故，而是整个前沿 AI 行业共同的测试方法问题：给自主智能体开联网权限做安全评估时，隔离措施必须从沙箱外部验证，不能只在内部"假装"断网。

普通用户要担心吗

对只用聊天机器人的普通人来说，这次事件本身不直接威胁你的账号——模型没有凭空制造新漏洞，它利用的是本来就存在的弱密码和泄露凭证。但它敲响的是另一口钟：AI 智能体被赋予的权限越大，自主行动的边界就越难预测。

已经有更贴近用户的风险在发生：安全媒体近期报道，出现了一批假冒 ChatGPT、Gemini、Claude 的广告门户，用虚假登录窗口窃取用户的账号和多因素验证码。BleepingComputer 也报道过类似钓鱼。给 AI 智能体开邮箱、网盘权限之前，先问一句：它真的需要吗？

下一步看评估标准

这场风波之后，行业讨论的焦点转向了智能体评估的隔离标准：出网控制、目标命名空间隔离、第三方评估机构的角色。谷歌云在事件曝光前几周刚发布过智能体沙箱隔离的技术建议，现在看来像一份预言。

AI 正在从"只会回答"变成"会动手"。这次是测试环境里的一次"误伤"，下一次，动手的对象可能是谁？