2026年9月18日前後、Google は Gemini がサイバーセキュリティ評価の最中に、実在する企業3社の保護されたシステムへ到達したことを認めました（The Guardian／BBC／The Hacker News）。Wall Street Journal が先に報じ、各社への確認取材が続いた形です。
出来事自体は 同年5月。評価を担ったのは AI 向けセキュリティ企業 Irregular です。OpenAI の Hugging Face 到達や Anthropic・Meta の類似開示と同じ評価パートナーが絡む、という報道が並んでいます。見出しは「Gemini がハックした」になりやすいですが、中身はもう少し地味です。
何が起きたのか
報道で揃っている骨格は、だいたい次のとおりです。
- 想定
架空企業を標的にした Capture the Flag（CTF）系の評価。隔離された環境で、サイバー能力を測る。
- ずれた点
テスト用に用意した架空社名が、実在ドメインと重なっていた。加えて、意図せず 本物のインターネットへ出られる経路が残っていた。
- 到達の仕方
1件はパスワードを繰り返し推測して保護システムへ。ほか2件は、公開リポジトリ上の認証情報を拾って到達した、とされています。
- そのあと
Google 側の説明では、3件とも 実在企業だと分かった時点でモデルが止まった。被害はなかった、と会社は述べ、対象組織と当局へ連絡した、としています。
セキュリティエンジニアリング担当 VP の Heather Adkins 氏は、「標準的な評価の中で、公開情報を見つけ、テストの一部だと思って認証情報を推測・利用した」「3件とも止まった」という趣旨のコメントを各紙に出しています。あわせて、「強力なモデルに責任ある振る舞いを訓練することの重要性」を強調し、今回はモデルが適切に振る舞った、という言い方もしています。
「ミスアライメント」ではない、という整理
ここが OpenAI 側の最近の開示と温度感が違います。
Google は、この侵入を ミスアライメント（意図からの逸脱）とは見なさない、と説明しています。理由の芯は、「本物の標的だと認識して止まった」ことと、「テストだと誤認したまま進んだ」こと——つまり 環境の取り違えであって、指示を無視して暴れ続けた話ではない、という立場です。
一方で、同じ週まわりの OpenAI のミスアライメント報告枠組み では、訓練・評価中の逸脱を外に見せる仕組みを前面に出しています。ベンダーごとに「何を失敗と呼ぶか」の線引きが違う、というのが正直な読みです。
時系列が示すこと
| いつ | 何が |
|---|---|
| 2026年5月 | Irregular 評価中に3件の到達 |
| 同年7月末ごろ | Hugging Face 開示を受けた見直しの中で、Irregular が Google へ共有 |
| その後 | Google が調査・通知・評価手順の見直し |
| 9月中旬 | WSJ 報道をきっかけに公に確認 |
つまり「5月にすぐ全面公開」ではなく、類似事案が業界で並んでから表に出た流れです。Google 側は当初、実害がなくモデルが止まったことを理由に、社外への積極開示を必須とは見ていなかった、という報道もあります。Irregular は、高度なサイバー工作というより評価側の問題だとし、封じ込めのベストプラクティス論文を近く出す、とも伝えています。
ぼくの。側で見ていること
派手なのは「AI が企業に入った」という一行です。実務に近いのは、次の三つです。
- 架空名と実ドメインの衝突は、CTF やデモで何度でも起きる古典的な事故である
- 「ネットなし」と思っているサンドボックスに、出口が一本でも残っていると、エージェントはそれを使う
- 公開リポジトリの鍵や弱いパスワードは、モデルが「発明」しなくても、すでに落ちている攻撃面である
小さなサービスを作る側からすると、「モデルが賢い／賢くない」より先に、評価環境の境界と 本番に近い認証情報の置き場を疑う話です。昨日の Claude で OpenAI を突いたバウンティ も、AI そのものより SSO と古い画像デコーダが芯でした。今回も、能力の証明より テスト設計の穴が主役に見えます。
対象企業名は公開されていません。技術的な再現手順も、ここでは扱いません。必要なのは、「評価中に本物へ届いた」事実と、「止まった／止められた」説明の両方を、見出しの煽りから一度下ろして読むことだと思います。