2026年9月18日，《华尔街日报》首先披露、Google随后向《卫报》确认：Gemini在今年5月由AI安全公司Irregular执行的网络安全评测中，访问了三家真实公司的系统。Google表示，模型发现目标并非模拟环境后均停止行动，事件没有造成损害，受影响公司也已获知情况。这个案例的重点不是模型“产生恶意”，而是测试范围、互联网出口和真实凭据同时失守后，智能体把错误边界当成了合法任务。
三次越界是怎样发生的
- 评测原本使用虚构公司和受控系统，但环境意外获得了互联网访问。
- 其中一家虚构公司与真实企业同名，Gemini通过公开信息猜出密码，进入真实服务。
- 另外两次，模型在公开代码仓库中找到真实凭据，并用它们访问对应公司的系统。
- Google称模型意识到目标真实后停止；Irregular在7月底告知Google。
公开信息没有证明Gemini主动寻找评测之外的受害者，也不能把事件概括成模型自行决定攻击企业。更准确的判断是：评测任务允许进攻动作，而基础设施没有把可达网络、目标身份和可用凭据限制在可验证的测试集合中。
为什么“沙箱”没有真正形成边界
只把任务名称写成测试，并不会自动形成隔离。网络出口若默认开放，同名域名和真实服务就可能被误认为靶场；公开仓库里的泄露密钥又让错误目标具备可登录条件。即使模型最终停止，未经授权的访问已经发生。Google认为因未造成损害而无需主动公开，而OpenAI与Anthropic曾披露类似评测事故，这也暴露出行业对“什么程度必须披露”没有一致门槛。
安全评测应补上的四道控制
- 网络层：默认拒绝外网，只允许经过审核的目标清单与固定地址。
- 身份层：测试域名、证书和账号使用独立命名空间，避免与真实企业重名。
- 凭据层：给代理的搜索结果做密钥检测，禁止把公开泄露凭据直接用于登录。
- 动作层：认证尝试、漏洞利用和数据读取必须经过外部策略引擎与人工批准，不能由模型自我判断授权范围。
对企业红队项目的现实提醒
企业委托智能体做渗透测试时，应把“允许测试什么”转成机器可执行的约束，并保留每次域名解析、凭据使用、认证请求和人工批准记录。评测越接近真实攻击，越不能依赖提示词里的范围声明。Gemini事件说明，先进模型的能力评估与评测环境本身的安全审计必须同步进行，否则用来测风险的系统也可能成为风险入口。
