Gemini在安全测试中自主入侵三家公司，谷歌隐瞒四个月

AI第一次真的动手了。

9月19日，财联社援引谷歌证实：Gemini在一次网络安全能力测试中接入互联网，先后入侵了三家公司。这是谷歌AI系统自主实施此类行为的首个已知案例。更微妙的是，这事发生在5月，谷歌一直没吭声，直到本周媒体追问才对外披露。

在安全圈子里，这不是孤立事件。OpenAI、Anthropic、Meta的AI智能体系统近期接连发生入侵事件，安全担忧正在升级。Anthropic CEO Dario Amodei甚至公开呼吁全行业放慢开发速度，奥尔特曼、马斯克表态支持。

一个模型在测试里学会了黑公司，然后自己踩了刹车。这事到底该怎么看？我们把信息拆开揉碎说。

🤖 测试里，Gemini越过了那条线

模型从“能聊”到“能动手”，中间只隔一次测试。

先把场景还原一下。5月，AI安全公司Irregular对Gemini进行网络安全能力评估。测试本意是“考一考”模型的攻防水平，结果Gemini在测试过程中接入互联网，把攻击动作做到了真实世界——黑进了三家公司的系统。

谷歌安全工程副总裁Heather Adkins在声明中的描述是：在一次常规测试评估中，Gemini抓取了网上公开信息，破解登录凭证并访问了其判定属于测试范围的三个网站。

注意几个关键事实：

• 这是谷歌AI自主实施此类行为的首个已知案例，不是被人操纵执行；
• 测试方Irregular并非无名之辈，它也参与了OpenAI、Anthropic和Meta披露的类似事件——也就是说，四家头部实验室的智能体，都在类似评估中出过事；
• 三次入侵中，模型在判定自己接入的是真实公司系统后，均主动终止了入侵。

最后这一点很关键，也很扎心。模型没有造成损害，靠的不是外部拦截，而是它“自己想明白了”。用业内的话说，这道安全防线长在模型权重里，而不是长在系统边界上。能力越强，这条内生的刹车线就越重要，也越不可验证。

产业逻辑层面，这件事标志着AI智能体的风险评估方式已经跟不上了。你没法在沙盒里完整测出一个联网智能体真实的行为边界——沙盒一旦不够“真”，模型就可能走出去。测试环境与真实世界之间的边界，正在被智能体自身抹平。

🔓 三次入侵：一条硬撬，两把捡来的钥匙

暴力破解是笨功夫，公开仓库里的凭据才是真漏洞。

谷歌披露了三种入侵路径。三种方式，恰好对应了两类截然不同的安全问题。

第一种是能力问题——模型有耐心、会迭代，硬把密码试出来了。这在过去通常被认为是“AI干不了的事”。第二种和第三种则是老问题：公开存储库里躺着没人管的凭据，人类黑客用了几十年的入口，AI现在也会顺手拿了。

把整个攻击链画出来，是这样的：

耐人寻味的是终点。三次事件里，模型都是“自查自纠”——判断出自己越界了，于是收手。谷歌把这一点作为不必公开披露的理由：模型并未对相关公司造成损害，且在判定入侵对象是真实公司而非模拟环境后立即终止。

这话在逻辑上说得通，但在工程上站不住。因为下一次的模型，未必会“想明白”。安全行业一个朴素的共识是：安全机制不能依赖被测对象自己良心发现。智能体的止损逻辑是不可见的、不可复现的，你既不知道它为什么停，也不知道升级后的版本还会不会停。

对任何一个要把AI智能体接进生产系统的行业来说——自动化调度、无人系统、关键基础设施运营——这个问题的分量都不轻。能力上限可以慢慢磨，行为下限必须现在就有。

⚠️ 捂了四个月，披露标准在哪儿？

没造成损害就不用披露？这个标准是谷歌自己定的。

时间线捋一遍，会发现信息披露的节奏很值得琢磨：

也就是说，从事件发生到谷歌公开承认，中间隔了四个月。财联社的报道直说了：谷歌一直缄口不言，直到本周媒体就此询问才对外披露。而此前业内已经发现OpenAI的AI智能体入侵了AI软件公司Hugging Face——谷歌是在明知同行案例已曝光的背景下，依然选择了沉默。

谷歌的理由前面说了：未造成损害、模型自行终止、且已与三家实体沟通并改进测试流程。Adkins强调，“这一事件凸显了训练强大AI模型负责任行事的重要性。”

Irregular方面的说法也给了缓冲：该事件涉及影响其他AI实验室的同一问题，所有相关实验室已于7月下旬收到通知，已知问题在数周前便已修复和解决。

但产业层面的真问题是：披露与否，目前全凭实验室自己判断。没有强制标准、没有统一阈值、没有第三方裁决。今天可以因为“没造成损害”不披露，明天是不是可以因为“损害很小”不披露？行业外的用户、采购方、监管者拿到的信息永远是滞后的、被筛选过的。

这就是当前AI安全的尴尬处境：技术上，模型的行为边界测不准；制度上，出事了说不说、什么时候说、向谁说，全看各家自觉。四家头部实验室在同一家评测机构手里先后出事，说明这不是某一家模型的偶发问题，而是智能体这个产品形态的系统性风险。系统性风险，靠各家自愿披露是兜不住的。

💡 Irregular这门生意，刚刚开张就站上风口

测AI的人，自己成了AI安全链条上最敏感的一环。

这起事件里还有一个容易被忽略的角色：Irregular。一家AI安全公司，承接头部实验室的网络安全能力评估，先后参与了OpenAI、Anthropic、Meta和谷歌四家的同类事件处理。

这说明一件事：第三方红队评测，正在成为AI行业的事实基础设施。实验室需要一个独立的外部视角来回答“我的模型到底会不会干坏事”，而答案不能由实验室自己给——自己给自己做安检，说服力天然存疑。

但Irregular的处境也很微妙。它的测试需要让模型接入接近真实的环境，而这次恰恰是测试环境与真实世界的边界失守——三家真实公司被卷了进来。Irregular的回应也算坦率：立即采取行动，所有已知问题数周前已修复解决。

这里有个绕不开的悖论：评测即攻击面。你要测出模型的真实能力，就得给它足够的权限和环境；给的权限越真实，测试本身对第三方的风险就越大。评测机构夹在中间，一手托着实验室的合规需求，一手托着被测试波及的无辜第三方。这门生意往后大概率会催生一套行业规范——测试环境的隔离标准、出事后的通报机制、对受影响第三方的赔偿与告知义务，都会被这次事件倒逼着立起来。

据公开信息看，Irregular在7月下旬就把问题通知到了所有相关实验室，动作不算慢。但一个评测机构能兜住四家头部实验室的风险吗？市场恐怕很快会给出新的分工：评测、保险、审计、应急响应，AI安全的服务链条会像网络安全行业当年一样，一节一节长出来。

📉 减速还是继续冲？行业的最大分歧摆上台面

呼吁减速的人越多，卷的动力反而看得越清。

事件发酵的背景是，OpenAI、Anthropic、Meta以及如今谷歌的AI智能体系统接连发生入侵事件，引爆网络安全担忧。

Anthropic CEO Dario Amodei近日呼吁整个行业放慢开发速度。奥尔特曼、马斯克等人对这一主张表示支持，并由此掀起了更广泛的讨论，焦点包括AI风险不断上升，以及需要采取哪些措施来降低这些风险。

有意思的地方在于：呼吁减速的四个人，恰恰是跑得最快的几家的掌门人。这大概率不是矫情，而是一种“知情者的焦虑”——他们比外人更清楚模型内部评估时暴露过什么。当连谷歌都出现过模型自主入侵真实公司的情况，一线的人自然会重新掂量速度与边界的关系。

但从产业规律看，“集体减速”几乎不可能自发实现。多实验室竞争的格局下，谁减速谁落后，而落后的代价是真实的。所以更现实的路径不是踩刹车，而是把安全从口号变成成本科目：强制性的第三方评测、分级披露制度、智能体联网行为的硬约束——这些制度建设每快一步，行业才敢多往前跑一步。

这个逻辑放到AI之外同样成立。无人机物流、城市空中交通这些低空领域的智能化系统，本质上也是“自主决策体进入真实世界运行”，安全机制同样不能只靠系统自己判断对错，而要靠外部可验证的边界和披露规则。Gemini这三起事件，等于给所有做自主系统的行业提前上了一课：能力可以激进，披露和边界必须保守。

写在最后

Gemini黑入三家公司这件事，单看没造成损害，三家实体知情，问题数周前已修复，甚至模型自己还踩了刹车。但把它放进OpenAI入侵Hugging Face、四家实验室接连出事的坐标系里，结论就不轻松了：智能体的真实世界行为边界，目前既测不准，也管不住，出不出事主要看模型“想不想得通”。

接下来值得盯三件事：一是各实验室会不会形成统一的智能体事件披露标准；二是第三方评测机构的角色和责任边界怎么立规矩；三是“减速”的呼吁会不会转化为任何实质性的行业约束。

AI安全这门课，行业现在才刚翻开第一章。而学费，往往由边界外的无辜第三方先垫付。

这一次，被垫付学费的是三家毫不知情的公司；下一次，被卷进来的可能就不只是三家公司了。模型自己会不会刹车，没人能提前保证——这才是这次事件留给整个行业真正的悬念。