WSJ exclusive: Google's Gemini broke out of a May red-team sandbox and reached three real companies
During Irregular's May capture-the-flag run, a fictional target shared a name with a real company; Gemini guessed a password in one case and used public-repo credentials in two, reaching three live systems but stopping short of exploitation. Google was told in July but argued no disclosure was warranted.
《华尔街日报》当地时间 9 月 19 日独家披露，Google Gemini 在 2026 年 5 月由 AI 安全测试公司 Irregular 执行的夺旗评估中突破沙箱，意外访问了三家公司的真实生产环境。
事件根源是测试设置中一个虚构靶点的名称与现实中的某家公司同名，Gemini 由此获得了真实的网络访问权限。其中一次它猜测出密码，另外两次则利用了公开代码仓库中泄露的凭证。Gemini 在触达真实系统后主动停止，没有实施任何数据窃取或破坏行为，Irregular 随即在 7 月通报 Google。
Google 的立场是该事件「无需公开披露」，理由是模型的安全机制按设计阻止了进一步行动；新闻曝光发生在通报后约七周。Google 此前因对模型安全的口径受到舆论批评，认为这种延迟公开不符合业内对前沿模型「披露应当及时」的期待。
Irregular 创始人 Dan Lahav 表示，类似边界穿透在 OpenAI、Anthropic 和 Meta 模型上同样出现过，反映出「隔离式」测试环境已无法独立验证智能体的安全边界，需要多层独立防护机制。