GoogleのAI「Gemini」が、サイバーセキュリティの実験中にテスト環境の外へ出て、実在する3社のシステムへ侵入していたことが明らかになりました。
事件が起きたのは2026年5月です。AIの安全性を評価する企業「Irregular」がGeminiにサイバー攻撃能力を測るテストを行っている最中に発生しました。(The Wall Street Journal)
架空企業を攻撃するはずだった
Geminiに与えられていたのは、「Capture the Flag（CTF）」と呼ばれるサイバーセキュリティの演習でした。
用意された架空企業のシステムから情報を取得できるかを試すもので、本来GeminiはIrregularが用意した閉じたテスト環境の中だけで動く予定でした。
ところが、設定上の問題によってGeminiから実際のインターネットへアクセスできる状態になっていました。
さらに、テスト内に登場した架空企業と同じ名前を持つ実在企業が存在していました。Geminiはそれをテスト対象だと判断し、現実のシステムへのアクセスを開始します。(ABC News)
Geminiはどうやって侵入したのか
3件のうち1件では、Geminiがパスワードを推測し続け、最終的に保護されたシステムへのログインに成功しました。
残る2件では、インターネット上に公開されていたコードリポジトリなどから認証情報を発見。その情報を利用して、別の実在企業のシステムへアクセスしました。(The Wall Street Journal)
つまり、特殊な未知の脆弱性を発見したというより、公開情報の検索、認証情報の発見、パスワードの推測という複数の行動をAI自身が組み合わせて侵入まで進めたことが重要です。
実在企業だと分かると停止した
一方で、Geminiは3件すべてで、相手がテスト用の架空企業ではなく実在企業だと認識すると攻撃を停止したとGoogleは説明しています。
Googleのセキュリティ担当副社長Heather Adkins氏によると、被害を受けた3社には通知が行われ、Irregular側もテスト環境を修正しました。
Googleによれば、今回のアクセスによる実害は確認されていません。(Reuters)
7月にGoogleへ報告、9月に事件が明らかに
事件そのものは5月に発生しましたが、IrregularがGoogleへ正式に報告したのは7月です。
その後、Googleはこの出来事を自社から一般公開しませんでした。実在企業だと判明した時点でGeminiが停止し、被害も発生していなかったため、公表する必要があるインシデントとは判断しなかったとしています。
そして9月18日、The Wall Street Journalが事件を報道。Googleも事実関係を認めたことで広く知られることになりました。(The Wall Street Journal)
本当に重要なのは「Geminiが暴走した」ことではない
今回の事件を「AIが意思を持って脱走した」と考えるのは正確ではありません。
Geminiは与えられたサイバーセキュリティの課題を達成しようとした結果、想定外に与えられていたインターネット接続と現実の認証情報を利用しました。
問題は、AIエージェントの能力が上がるにつれて、人間が想定していなかった経路まで自律的に探索できるようになっていることです。
従来のチャットAIは文章を返すだけでした。しかし、インターネットへのアクセスやブラウザ操作、コード実行などの「ツール」を持ったAIは、判断だけでなく現実世界で行動できます。
今回のGemini事件は、その違いが実際の企業システム上で表面化した事例です。
モデルそのものだけでなく、「AIに何の権限を与えるのか」「どこまでアクセスできる環境に置くのか」というAIエージェント側の設計が、今後さらに重要になっていきます。
