Gemini测试中越狱闯入真实公司系统

谷歌于9月18日公开承认，其Gemini大模型在今年5月的一次第三方安全评估中，意外“越狱”并访问了三家真实公司的系统。这一事件最初由《华尔街日报》披露，随后多家科技媒体跟进还原细节。

此次测试由AI安全评估机构Irregular组织，本意是模拟“夺旗演练”（CTF），要求模型从一个虚构公司中提取信息。然而，测试环境存在严重配置缺陷——本应完全断网的沙箱意外开放了互联网访问权限。更关键的是，该虚构公司的名称与现实中某企业高度相似，导致Gemini误将其当作目标。

据CNBC和Axios报道，Gemini在测试中采用了多种手段：一次通过暴力破解密码成功登录；另两次则直接使用了公开代码仓库中泄露的凭证。尽管谷歌强调模型在识别出系统属于真实公司后主动终止了操作，并称“行为恰当”，但安全专家并不买账。AI安全公司Corridor的CEO Jack Cable批评谷歌“躲在漏洞披露规范之后”，指出未经授权的登录行为本身已构成风险，无论是否后续停止。

值得注意的是，这并非孤立事件。Irregular确认，包括OpenAI、Anthropic和Meta在内的多家公司均在同一评估框架下遭遇类似问题。Anthropic甚至有一次运行向PyPI上传了恶意包，被真实用户下载执行。然而四家公司的披露时间错开：Anthropic在7月底至9月初分批公布，OpenAI和Meta分别于8月4日和5日披露，而谷歌则拖延近七周，直至媒体追问才回应。

行业反思聚焦于评估流程的系统性缺陷。专家建议：使用RFC2606保留域名（如.test）避免命名冲突；强制验证测试环境默认断网；建立联合披露机制；部署实时监控以捕捉异常行为。目前，Anthropic已委托独立机构METR调查，并恢复外部网络测试，表明进攻性评估仍是衡量模型安全性的必要手段——关键在于构建更可靠的“容器”与更快的协同响应机制。