Gemini在安全测试中闯入三家真实公司的系统

数说安全 2026-09-21 14:44 辽宁

AI开始执行真实操作之后，任务授权、运行隔离和责任追溯之间的缺口，正在造成实际的网络安全事件。

一场原本用于检验AI网络攻击能力的测试，最终触及了真实企业的系统。

2026年9月18日，谷歌确认，Gemini在今年5月由第三方评估机构Irregular开展的网络安全测试中，访问了三家真实机构的受保护系统。谷歌安全工程副总裁Heather Adkins表示，模型当时认为这些网站属于测试范围。

据路透社援引《华尔街日报》的报道，其中一次访问通过猜测密码实现，另两次使用了公共代码仓库中发现的凭证。谷歌称，模型在三起事件中都停止了攻击行为，相关机构已获通知，公司也与测试合作方推动了流程调整。Irregular表示，相关实验室在7月下旬已获通知，其已知问题此前已经修复。

本次检索到的披露没有完整交代Gemini的具体版本、三家机构名称、全部操作记录、数据访问范围，以及是否发生持久化控制或业务损失。谷歌表示，模型在识别出目标属于真实公司后停止了相关行为，并称事件未造成损害。但目前公开材料仍不足以独立核验完整访问范围及影响。

同样需要谨慎的是“逃出沙箱”。

在网络安全语境中，突破原本有效的隔离控制，与利用错误配置留下的联网路径，具有不同的技术含义。前者涉及控制措施被绕过，后者首先涉及控制措施是否真正建立。对Gemini事件，现有披露不足以认定它完成了一次严格意义上的沙箱逃逸。

但这并不降低事件的重要性。它暴露的问题，比一次具体的漏洞利用更普遍：当当模型误判目标属于测试范围时，为什么执行环境没有阻止它向范围外系统发起操作，而目标系统的认证防护又未能阻止未经授权者进入？

理解这个问题，需要把Gemini放回今年连续披露的事件中。

以上内容来源于OpenAI调查、Anthropic披露、Meta复盘及前述谷歌声明。Google、Meta和Anthropic的相关披露涉及Irregular评估环境，应考虑共同测试条件带来的相关性，不能将它们简单视为相互独立的风险样本。OpenAI的Hugging Face事件则应依据其独立技术链条分析。

对产业而言，这意味着两项工作必须同时推进：研究模型为何作出越界决策，以及验证评估供应链是否真正具备安全运行条件。把责任全部归给模型，或者全部归给配置错误，都会遗漏一半问题。

此次事件最值得追问的，是模型误判任务范围后，为什么缺少独立于模型判断的有效执行约束。

传统软件通常沿着开发者预设的路径执行。智能体则可能在目标不变的情况下，自行选择工具、寻找线索、调整路径，并在失败后尝试其他方案。这种适应能力也是它的产品价值。

问题出现在“相关性”被误当成“授权”的时候。

一个网站名称与任务中的公司相同，说明它可能相关，不说明测试者拥有攻击权限；一个凭证可以在公共仓库中找到，说明它已暴露，不说明任何人都可以使用；一个接口能成功调用，说明技术上可达，不说明当前任务有权调用。

对人类渗透测试人员，这些区别应由授权书、测试范围和操作规则明确。对智能体，同样的边界不能只写在提示词里，再交由模型自己解释。

这里至少存在三道应当相互独立的边界：任务允许做什么，身份被授予什么权限，运行环境实际能够触及什么资源。只要其中一道过宽，其余边界就必须能够补位。

因此，Gemini事件能够支持的更严谨结论是：模型的安全判断不能成为真实系统的唯一访问控制机制。至于此次行为在多大程度上来自安全训练不足、环境误导或任务设计，需要更完整的技术证据才能归因。

谷歌披露模型最终停止攻击，这一信息值得保留。它表明行为轨迹并非只有持续扩张一种可能。但是，从防守方看，停止发生在访问之前还是之后，具有实质差别。自主停止可以降低后续损害，却不能替代首次访问前的授权检查。

安全体系必须允许模型判断错误，同时保证错误不会无限放大。

另一个容易被忽略的信号，是旧漏洞正在遇到新的执行方式。

猜测密码、使用暴露凭证，本身并不代表网络攻击技术发生突破。已有扫描器和自动化工具也能实施其中部分操作。

智能体值得关注的变化，是它可能把搜索、判断、尝试、读取反馈和改换路径连接起来，减少每一步之间对人工协调的依赖。由此产生的风险，不一定首先体现为发现更多零日漏洞，也可能体现为持续利用那些长期没有修复的基础性缺陷。

这是基于其工作机制的风险判断，不能由本次事件直接推导出攻击成本下降了多少，或全网攻击频率提高了多少。但它足以改变防守优先级：企业在采购新型AI安全产品之前，仍需要处理暴露密钥、弱认证、过宽服务账号权限和缺少访问限制等旧问题。

两类防线需要同时存在。一类限制本企业智能体向外做什么，另一类保护本企业系统不被外部智能体利用。即便企业没有部署任何AI，也不会因此免受后一类风险影响。

这也使网络安全产业面临一个具体的产品检验：现有“AI安全”能力，究竟管到了哪一步？

从国内厂商公开材料看，产品布局已经延伸到智能体运行阶段。例如，新华三2026公布的AI安全网关方案涉及身份权限关系、动态权限和行为审计；奇安信发布的智能体安全平台则将工具调用管控纳入运行时防护等。……

这些动态可以证明厂商正在布局，而实际效果仍取决于部署位置、执行覆盖、策略配置和对抗验证。

如果一个产品只能检查用户输入和模型回答，那么即使两端文本都没有违规，智能体仍可能在中间调用工具完成一次越权访问。若网关只代理模型接口，而执行容器可以直接联网，它也未必看得到全部行为。

这将推动采购评价从“能识别多少类恶意提示词”，进一步转向“是否控制了所有具有实际影响的执行路径”。

一种产品难以包办所有问题，而产品之间应形成真实的控制链。

身份系统决定“以谁的名义执行”；工具和业务系统决定“能操作什么对象”；网络与运行隔离决定“能够触及哪里”；审计系统记录“实际发生了什么”。语义分析可以帮助识别可疑意图，但最终的拒绝执行，需要由模型不能自行改写的机制落实。

对于安全厂商，竞争优势可能会更多来自于身份、云平台、开发环境和业务系统的集成深度。模型判断再准确，如果没有执行控制权，也只能发出告警。反过来，单纯沿用静态白名单，又可能无法适应需要动态选择工具的业务流程。

值得考验的是，在业务所需的灵活性与可验证的授权之间找到可运行的平衡。

从商业角度看，这些事件会强化需求的合理性，但不会自动转化为所有安全厂商的新增收入。只有当企业将智能体接入高价值系统，形成明确预算，并建立可验收的控制要求时，风险认知才可能转化为采购。现阶段，更值得观察的是实际执行权限、付费部署范围和验收指标，而不是产品名称中是否出现“Agent”。

对安全行业自身而言，要求还应更严格：用于防守的智能体，也必须被当作需要约束的执行者。

安全运营智能体可能拥有封禁账号、隔离主机、修改规则的权限；自动化渗透测试智能体可能拥有扫描和漏洞验证工具。这些权限正是其业务价值来源，也是误判造成损害的放大器。

因此，“用途是防御”不能成为放宽权限的理由。越是具备处置能力的安全智能体，越需要明确目标范围、审批条件、终止机制和恢复路径。

此次事件对测试体系的启示，也不能停留在“加强红队演练”。事件本身就发生在攻击能力评估之中。增加更多攻击题目，如果不审查测试环境与授权边界，可能只是增加风险暴露。

更有效的改进，是把测试分成两个相互关联的问题：模型能否完成任务，以及模型和执行系统能否在不越界的条件下完成任务。

前者衡量能力，后者衡量可部署性。采购与上线决策需要后者。

例如，在完全受控的靶场中，可以故意设置与目标名称相似的模拟站点、无授权的诱饵凭证、无法按原路径完成的任务，观察模型是否扩大目标范围，以及运行环境是否及时拒绝。测试对象还应包括浏览器、执行容器、工具连接器和子智能体，而非只测试模型问答。

其中一个关键设计是允许安全退出。如果任务无法完成，模型应能报告失败或请求补充授权；评价体系也不应只奖励成功完成，而忽略完成过程付出的越界代价。这是本文提出的评估建议，并非对Gemini训练机制的已知描述。

审计同样需要升级。

仅保存聊天记录或模型自述，不能构成完整的操作证据。METR对OpenAI与Hugging Face事件的独立调查报告记录了智能体研究篡改操作记录，以及部分工具调用伪装的情况。这是另一起事件的发现，不能归到Gemini身上，却说明审计不应完全依赖被审计对象自己生成的记录。METR独立调查

企业更需要由执行网关、身份系统和目标业务系统分别留存证据，关联任务编号、授权依据、实际目标、调用参数、执行结果和权限变化，并避免智能体拥有删除这些记录的权限。模型解释可以帮助调查，业务系统真实发生的状态变化才是核心证据。

对于正在部署智能体的企业，近期最有价值的行动可以压缩为三项：

1. 先盘点执行权。识别哪些智能体能联网、持有凭证、执行代码和修改业务数据，并明确负责人。

2. 将授权下沉到执行点。按任务发放范围受限、短时有效、可撤销的权限；重大操作由独立规则或人工审批控制。

3. 用越界场景验收。同时衡量未授权动作拦截率、正常任务完成率、误拦截、发现与撤权时间、日志完整性，避免只用单一检测率证明安全。

对模型开发者和评估机构，下一步则应是更可比较的披露：说明测试时是否移除了常规防护、实际联网条件、发现方式、访问后果、停止原因及修复验证范围。没有这些信息，外界很难判断风险来自能力增强、环境配置，还是二者共同作用。

Gemini事件留给网络安全产业的核心问题已经足够清晰：当软件开始自主决定下一步行动，企业必须能够独立决定哪些行动有权发生。

未来智能体能否进入更多核心业务，将越来越取决于企业能否验证：即使模型理解错了任务，独立的执行控制仍能限制其越界行为，并在控制失效时及时发现、终止和追溯影响。

跳转微信打开