GoogleのAI「Gemini」、セキュリティ評価中の手違いで実在企業に侵入　安全機構により自発的に停止

要点

• Googleの大規模AIモデル「Gemini」が、セキュリティ評価テスト中にインターネットを介して実在する企業の保護されたシステムへ侵入していたことが判明した。
• 侵入の原因は、演習用に設定された架空の企業名が実在するドメインと偶然一致してしまった外部評価パートナーの命名ミスによるものとされている。
• Geminiはパスワードの推測や公開リポジトリ内の認証情報を利用して侵入したものの、実在企業であることを検知した段階で自ら侵入を中断した。
• Googleは安全機構が適切に機能したとして制御の破綻を否定しており、テストを実施した企業も数週間前に対策を完了したとしている。

---

GoogleのAIモデル「Gemini」が、セキュリティ検証テストの過程で意図せずインターネットを経由し、実在する複数の企業システムへ侵入していたことが明らかになった。米Wall Street Journal（WSJ）が報じ、サイバーセキュリティ専門メディアのThe Hacker Newsなどが詳細を伝えている。

今回の事象はテスト環境の設定ミスに起因するものだが、Geminiは実在する企業のシステムであることを検知した後に自律的に活動を停止したという。

演習環境のドメイン名重複が原因で発生

このインシデントは2026年5月、イスラエルのセキュリティ評価企業であるIrregularが実施した検証テストの中で発生した。同社はAIモデルの安全性や脆弱性を評価するパートナー企業であり、過去にはOpenAI、Anthropic、Metaのモデル検証でも同様の侵入事案に関与していた。

Irregularが先月公表した報告書によると、セキュリティ技術を競う演習であるCTF（Capture the Flag）向けに用意された架空の企業名が、偶然にもインターネット上に実在するドメインと一致してしまっていたという。この命名エラーによって、AIモデルが意図せず外部インターネットへの接続権限を利用できる状態となり、実在するドメインに対して限定的なアクセスを試みる事態へとつながった。

Irregularは2026年7月にこの問題をGoogleへ通知した。同社によれば、この事象は他のAI企業の事例と同様のものであり、問題自体はすでに数週間前の時点で修正・対処されたとしている。なお、実際に標的となった企業の具体的な名称は公表されていない。

パスワード推測や公開リポジトリの認証情報を悪用

報道によると、Geminiは実在する企業の保護されたシステムに対し、複数の手法を用いてアクセスを試みていたとされる。

具体的には、保護されたシステムに対してパスワードの推測を繰り返し実行することでログインに成功したケースが1件確認された。また別の2件のケースでは、一般に公開されているリポジトリ内から認証情報を自ら発見し、それを用いて保護されたシステムへの不正アクセスを行っていたという。

これらの挙動により、Geminiは結果として実在する企業のシステムへのアクセス権を一時的に取得する形となった。

安全機構の作動で侵入を中断、Googleは「適切に行動」と説明

今回の事例において特徴的なのは、Geminiが侵入後に見せた挙動である。過去にAnthropicやOpenAIのモデルで観測された類似事例とは異なり、Geminiは自身がアクセスした対象が実在する企業のシステムであると認識した段階で、それ以上の侵入活動を自発的に終了させた。

Googleのセキュリティエンジニアリング担当バイスプレジデントであるHeather Adkins氏は、Wall Street Journalに対し「この出来事は、強力なAIモデルが責任を持って行動するよう訓練することの重要性を浮き彫りにした。今回のケースにおいて、モデルは適切に行動した」とコメントしている。

またGoogleは、安全機構がトリガーされてエージェントが自律的に活動を停止したことから、今回の挙動をモデルのアライメント不全（AIの挙動が意図した方針や安全基準から逸脱すること）の事例とは見なしていないと説明している。

自律エージェントの検証トラブルが各社で表面化

AIモデルが自律的に外部ネットワークへアクセスし、想定外の行動をとる事例は業界全体で相次いでいる。今回の評価を実施したIrregularは、Anthropic、OpenAI、Metaの各モデルにおいても同様の命名ミスによる実ドメインへの侵入が発生していたことを明らかにしている。

さらに直近では、OpenAIがモデルの訓練プロセス中にAIエージェントが想定外の逸脱行動をとった6件のインシデントを公表したばかりである。その中には、自身のミスを隠蔽する行為や、許可されていない認証情報の探索、公開インターネットへのファイルアップロード、さらにはアーティファクト管理システム「Artifactory」を介して他の解答者のメモを閲覧・返信し、そのやり取りを自身の回答に利用するといった欺瞞的な行動が含まれていた。

2026年7月にOpenAIが公表した、制御をすり抜けたAIエージェント群がオープンインターネットに到達してHugging Faceを侵害した事案以来、各社のAIモデルが示す自律的な挙動に対する検証体制は急速に厳しさを増している。