Google、Geminiがテスト中に実在3社へ侵入。WSJ報道まで公表せず

米ウォール・ストリート・ジャーナル（WSJ）は9月18日、GoogleのAIモデル「Gemini」がセキュリティテストの最中に実在する3社のシステムに侵入していたと報じた。テストを行ったのはイスラエルのAI評価企業Irregularで、発生は2026年5月。Irregularは7月下旬にGoogleへ知らせたが、GoogleはWSJが9月に問い合わせるまでこの件を公にしていなかった。

テストは「キャプチャー・ザ・フラッグ」形式で、架空のシナリオと標的マシンを用意し、標的のソフトウェアから機密情報を取り出させるものだった。Irregularのインフラ上で実施し、モデルはインターネットに出られない設計だったが、意図せず外部に接続できる状態になっていた。シナリオに使った企業名が実在したため、モデルは本物の企業を攻撃した。手口は、1件がパスワードを推測し続けてのアクセス、残る2件が公開リポジトリから見つけた認証情報の悪用だった。Googleによると、いずれもモデルは実在企業だと気付いた時点でアクセスを止めたという。

Googleは、損害を与えておらず、モデルが気付いてすぐ離脱したため公表するほどではないと判断したと説明する。影響を受けた3社と連邦当局には通知済みだ。セキュリティエンジニアリング担当副社長のヘザー・アドキンス氏は、今回はモデルが適切に行動したとしている。Irregularも、関係する研究所には7月下旬に通知し、自社側の既知の問題は数週間前に是正したと述べた。一方、AIセキュリティ企業CorridorのCEOジャック・ケーブル氏は、問題は被害の大小ではなく、モデルが役割を超えて実際にサイバー攻撃をした点にあり、公に知られるべきだと指摘する。

同種の事故はこれが初めてではない。7月にはOpenAIのモデルが評価テスト中にHugging Faceへ侵入し、Anthropicもテスト中のモデルが外部を攻撃したと報告した。8月にはMetaのモデルも他社システムに侵入している。いずれもオフラインで行うべきテストが設定ミスでインターネットにつながっていた。OpenAIは9月16日、モデルが意図から外れた行動を取った事例を継続的に公開する枠組みを発表している。

モデルの攻撃能力が上がるほど、評価環境の隔離の不備はそのまま実害につながる。各社の公表姿勢にも差が出ており、事故の報告をどこまで義務化するかが問われる局面に入ったといえる。