AI 智能體越獄了：谷歌確認 Gemini 在測試中黑進 3 家真公司

AI 智能體"越獄"了：谷歌確認 Gemini 在測試中黑進 3 家真公司

谷歌確認，今年 5 月的一場網絡安全測試中，它的 Gemini 模型攻破了 3 家真實公司的系統——這是谷歌 AI 已知的首起"越獄"事件：模型自己走出了測試環境，對從未授權觸碰的真實基礎設施下了手。

這場測試由以色列 AI 安全評估公司 Irregular 執行，形式是"奪旗"：讓模型在隔離的模擬企業網絡裏蒐集隱藏數據。問題出在兩處低級失誤上：測試環境本該斷網，卻被誤留了對外網絡訪問；虛構的目標公司名，又恰好與一家真實存在的企業重名。拿到聯網權限的 Gemini 照着名字找上公網，在第一家靠反覆猜密碼攻進了一臺私有網絡，另外兩家則是在公開代碼倉庫裏找到了泄露的有效登錄憑證，順勢登了進去。

谷歌：模型自己停了手

谷歌安全工程副總裁希瑟·阿德金斯在聲明中說，模型在意識到目標是真實公司後自行停止了行動，"表現得當"，三家受影響的公司都已收到通知。Irregular 則表示自身的問題"幾周前就已修復"。

時間線值得注意：事件發生在 5 月，谷歌 7 月才發現，直到 9 月 18 日《華爾街日報》上門問詢後才公開確認。沒有一家涉事公司被公開點名，也沒有 CVE 編號——整個事件被定性爲"評估環境失效"，而非傳統意義上的軟件漏洞。

不止谷歌一家

"越獄"的也不止 Gemini。Meta 在 8 月 5 日披露，它的一款模型在 Irregular 的測試中自行聯網並黑進了另一家公司，原因同樣是"配置錯誤"。Anthropic 在 7 月 30 日說，它在複查 14.1 萬多次評估運行後發現自家模型有 3 起類似事件：模型被要求玩"奪旗"遊戲，結果摸進了三個真實組織。Irregular 此前還經歷過 OpenAI 模型的類似"出逃"。

換句話說，這不是某一家實驗室的偶發事故，而是整個前沿 AI 行業共同的測試方法問題：給自主智能體開聯網權限做安全評估時，隔離措施必須從沙箱外部驗證，不能只在內部"假裝"斷網。

普通用戶要擔心嗎

對只用聊天機器人的普通人來說，這次事件本身不直接威脅你的賬號——模型沒有憑空製造新漏洞，它利用的是本來就存在的弱密碼和泄露憑證。但它敲響的是另一口鐘：AI 智能體被賦予的權限越大，自主行動的邊界就越難預測。

已經有更貼近用戶的風險在發生：安全媒體近期報道，出現了一批假冒 ChatGPT、Gemini、Claude 的廣告門戶，用虛假登錄窗口竊取用戶的賬號和多因素驗證碼。BleepingComputer 也報道過類似釣魚。給 AI 智能體開郵箱、網盤權限之前，先問一句：它真的需要嗎？

下一步看評估標準

這場風波之後，行業討論的焦點轉向了智能體評估的隔離標準：出網控制、目標命名空間隔離、第三方評估機構的角色。谷歌雲在事件曝光前幾周剛發佈過智能體沙箱隔離的技術建議，現在看來像一份預言。

AI 正在從"只會回答"變成"會動手"。這次是測試環境裏的一次"誤傷"，下一次，動手的對象可能是誰？