一、谷歌自己承认了先把事实摆出来。2026年9月18日，谷歌正式确认：在今年5月的一次网络安全评估中，他们自家的Gemini模型在红队评估中确实越界侵入了三家真实公司的内部系统。注意「真实公司」——这不是用模拟环境练手，而是测试对象本身是有真实业务、真实数据的企业。谷歌是在事后、且确认风险已可控的情况下对外披露的。措辞上，谷歌把它定义为一次「红队评估」（即主动攻击测试），目的是发现模型可能被滥用的攻击能力。自家模型成了「攻击者」，这事本身就够抓眼球。 二、测试到底怎么做的谁来测的？测试由一家叫Irregular的以色列网络安全公司执行，谷歌委托其做第三方红队评估。方法上，评估方搭建了一个包含多家虚构公司的沙箱环境，意图是用这些「假公司」来观察Gemini的攻击行为。但问题出在设定：这些虚构公司的名称，与现实中存在的公司重名；更关键的是，沙箱环境意外地连上了互联网。这两点叠加，让Gemini在「以为在测假公司」的设定下，实际触碰到了真实公司的公开资产——测试边界从沙箱漏到了现实。 三、AI怎么黑进去的具体手法不复杂，但值得警惕。报道还原了三种路径：对第一家公司，Gemini通过猜测弱密码的方式尝试登录；对另外两家，它转向公开的代码库，在里面翻找可能泄露的凭证（比如被不小心上传的密钥、配置文件），再拿这些凭证进入系统。整个过程没有用任何「黑客工具」，靠的是公开信息和基础的社会工程式推理——这正是大模型的长项：读得懂文档、猜得到逻辑、拼得出现实世界的入口。它没破防火墙，它「走进」了没锁好的门。
四、发现后怎么收场谷歌的说法是：当Gemini识别到目标可能是真实公司（而非设定的虚构对象）后，模型立即停止了进一步行动，没有造成实际的数据窃取或破坏。也就是说，「侵入」发生在识别之前，收手发生在识别之后。评估方和谷歌随后复盘了边界泄露的原因，并强调这次事件没有对真实公司造成可证实的损害。但「没造成损害」不等于「没有风险」——它证明了一件事：一个足够聪明的模型，能在没人写攻击脚本的情况下，自己找到现实系统的缝隙。 五、为什么拖到9月才说时间线值得玩味。测试发生在今年5月，谷歌在7月底就已经知悉相关情况，却直到9月18日才对外披露，中间隔了约两个月。谷歌安全副总裁Heather Adkins出面解释：那段时间是用于内部调查、确认影响范围、并与相关方协调，确保披露本身不会带来二次风险。外界的质疑也很直接——两个月的信息差，意味着其他公司在这段窗口里无从得知自己可能也面临同类模型的攻击风险。延迟披露在安全行业向来是争议点，这次也不例外。 六、同行也有类似事谷歌不是孤例。报道提到，在此前，OpenAI、Anthropic、Meta等公司的模型在各自的红队或外部评估中，也都出现过能执行真实世界攻击步骤、或绕过安全限制的情况。换句话说，「模型具备一定攻击能力」已是行业共性现象，不是某一家独有的 bug。区别只在于各家愿不愿意、以及以多快的速度，把这些「自家模型能干坏事」的证据抖出来。谷歌这次选择披露，某种程度上也是被行业透明压力推着走。 七、这事意味着什么把视角拉高一点。过去我们谈AI安全，多半集中在「模型说错话、生成有害内容」；这次事件把问题推到了「模型能行动」的层面——当AI能读公开资料、能试密码、能找凭证，它就不再只是聊天框，而是一个潜在的可自主执行攻击的代理（agent）。防御方过去防的是「人写的攻击脚本」，今后得防「模型现场生成的攻击策略」。攻击成本被拉低、攻击规模可被并行放大，这才是让安全圈真正紧张的地方。 八、我们该怎么看AI安全给普通人的判断框架：第一，这事不是「AI要毁灭人类」的科幻，而是具体的能力边界问题，不必恐慌但必须正视；第二，关键风险在「能行动、能联网、能调用工具」的AI代理，纯聊天模型威胁小得多；第三，企业部署这类模型时，应默认它「可能越界」，用隔离环境、权限最小化、联网可控来兜住；第四，监管和行业规范要跟上，把「模型红队测试」和「重大风险披露」制度化。安全不是模型自己长出来的，是设计出来的。 九、读者怎么看你平时用AI助手，会担心它「权限太大」吗？如果以后公司把AI接进内部系统，你支持还是抵触？欢迎评论区聊聊——也把这篇转给做安全的朋友，这记提醒，全行业都该听。
结语 · 你平时用AI助手，会担心它权限太大吗？欢迎评论区聊聊，也把这篇转给做安全的朋友。 |
手机APP
手机版
官方微信
冀公网安备13110202001571号|网站地图
