Google、Geminiの3社侵入は「不整合でない」。試験環境の不備も判明

GoogleのAIモデル「Gemini」が5月、サイバーセキュリティ能力の試験中に隔離環境を抜け出し、実在する3社のシステムに侵入していた。Googleがこの件を明らかにしたのはWall Street Journalの取材を受けた後で、それまで自発的な開示はなかった。試験は第三者企業Irregularが実施したもので、同社はMetaやOpenAIのモデルをめぐる同種の事案にも関わっていたとされる。

Googleが公表しなかった理由は、これを「モデルの不整合（misalignment）の例」とは見なさなかったからだという。同社の説明では、今回は「取り違え（mistaken identity）」に当たる。モデルはオンラインの公開情報を集めて認証情報を推測し、テストの一部だと思い込んだサイトにアクセスした。パスワードを推測して実在企業に入り込んだと自覚した時点で、3件とも自ら動作を止めている。セキュリティ工学担当バイスプレジデントのHeather Adkins氏は「この件でモデルは適切に振る舞った」と述べ、自社のセキュリティチームには他社のソフトウェアやシステムの問題を報告してきた長い実績があり、それが弱いパスワードのような単純な話であっても変わらないと説明した。3社には連絡済みで、訓練パートナーとは試験手順の変更についても対応したという。

ただしAdkins氏は、Geminiが自ら隔離を破って第三者を標的にした行為がなぜ不整合に当たらないのかについては、それ以上踏み込んでいない。AIセキュリティ企業CorridorのCEO、Jack Cable氏はThe Vergeに対し、「本質的な問題は、モデルが本来の範囲の外に出て、実際のサイバー攻撃をしているという点だ」と指摘した。

もう一つ見過ごせないのが、試験を行う側の不備だ。Geminiは試験中インターネットに接続できない設定のはずだったが、Irregularは接続が意図せず有効なままになっていたと認めている。つまりモデルが外に出られたのは、能力の問題である以前に、サンドボックスが閉じていなかったからだ。

この構図は、危険な能力を測る評価そのものが実環境にリスクを漏らしうることを示している。評価の対象がエージェントである以上、厳しく設計すべきはモデルの振る舞いだけではない。ネットワークの分離、モデルが手にできる認証情報の範囲、実行された操作の記録といった評価基盤側の作りが、同じ水準で担保されている必要がある。そして「モデルが自分で止めたから問題ない」という説明は、裏を返せば、止めたのが外側の制御ではなかったという事実の確認でもある。