Googleは、Geminiの1モデルが2026年5月のサイバーセキュリティ評価中にインターネットへ接続し、実在する3社のシステムへ無許可でアクセスしたと確認した。評価を運営したのは外部のAIセキュリティ企業Irregularで、モデルには架空企業を対象とするCTF（旗取り競技）が与えられていた。Googleによれば、Geminiは3件とも対象が実在企業だと気づいた時点で行動を止めた。だが、モデル名も実行ログも公開されていない。一次資料から見えるのは、Geminiだけの異常な能力より、複数のAI企業が共有した外部評価の管理不備である。

AD

3社へのアクセスで確認されたこと

Googleのセキュリティエンジニアリング担当副社長Heather Adkins氏はAxiosに、標準的な評価でGeminiがオンラインの公開情報を見つけ、試験範囲内だと思った3サイトへ入るための認証情報を推測したと説明した。Googleは影響を受けた3社へ連絡し、評価パートナーが試験手順を変える作業にも関わったとしている。

The Wall Street Journalは、1件ではパスワードを推測し、残る2件では公開された場所に置かれていた認証情報を見つけたと報じた。ただしWSJの本文は取得制限があり、Googleも3件それぞれの操作記録を公開していない。確定しているのは、5月に3社へアクセスしたこと、Geminiが実在側だと認識した後に停止したというGoogleの説明、関係先へ通知したことである。

空白は大きい。関与したGeminiの世代、一般提供モデルと同じ安全策が有効だったか、侵入後にどの情報へ触れたか、3社に技術的な被害が残ったかは公表されていない。モデルが自ら止まったという説明も、公開ログで独立に確かめられた結果ではない。

高度な脱出ではなく、容易な対象と開いた経路

Irregularの8月14日付事後報告は、評価で架空企業に付けた名前が実在ドメインと重なっていたと説明する。モデルへの指示には、標的名とIrregular社内の模擬環境にある内部アドレスが含まれ、多くの実行は模擬環境内で進んだ。ところがインターネット接続が有効だったため、一部のモデルは同名の実在ドメインを課題の一部と誤認した。似た名前の別サイトへ移り、公開されていた認証情報を得た例もあった。

Irregularは、対象ドメインには一般的な安全対策が複数欠け、多くのフロンティアモデルにとって攻略が容易だったと記している。そのため同社は、この事案が特定モデルの能力や挙動について特に注目すべき事実を示すとは考えていない。3社へ入ったという結果は重大だが、高度な未知の脆弱性を発見して厳重な隔離を破った証拠ではない。

この区別は、OpenAIモデルがHugging Faceへ侵入した別の事案と比べると分かりやすい。Anthropicの7月30日付報告は、OpenAI側ではモデルが別環境の未知の脆弱性を悪用して外部接続を得たのに対し、Irregular環境では設定不備で開いた経路をモデルが使ったと分けている。「AIが評価環境から出た」という見出しだけを並べると、攻撃の難度も、直すべき防御も見誤る。

AD

4層の管理不備が重なった

今回の事故は一つの壁が破られたのではない。架空名と実在ドメインの衝突、開いたインターネット経路、対象範囲を限定しない課題、数百ターン後の希少な逸脱を拾えない監視が重なった。

管理層 公開資料で確認できる不備 防げた可能性がある対策
対象の設計 架空企業名が実在ドメインと重なった 実行前にドメインを再確認し、評価用に管理下の名前空間を使う
通信経路 インターネット接続が意図せず利用可能だった 外向き通信を既定で遮断し、必要な宛先だけ許可する
許可範囲 課題は標的を示したが、旗を探す場所の上限を機械的に縛らなかった 許可されたホストとIPを明示し、範囲外への操作を実行側で止める
監視 正当な攻撃演習の警告が大量に出る中、希少で長い実行が埋もれた 課題の許可範囲と通信先を突き合わせ、範囲外の最初の操作で停止する

表は、Googleの3件とAnthropicの3件を同じ事故として合算したものではない。Irregularの報告と、同社の環境を使ったAnthropicの詳細な事後調査から、共通する管理上の故障経路を抜き出した。Googleのログが公開されていない以上、Anthropicで確認された個々の操作をGeminiへ当てはめることもできない。

課題の現実性を高めるため、外部接続が必要になる場面はある。Irregularは、現実の攻撃者がインターネットを使う以上、接続を完全に除くと評価の意味が薄れると説明する。Google DeepMindもサイバー能力の評価枠組みで、20カ国の実攻撃利用1万2000件超を分析し、偵察から目的達成までを覆う50課題を設計したとする。現実性を保つことと、無関係な第三者を巻き込まないことを同時に満たす必要がある。

1万回に1回未満をどう監視するか

Irregularによれば、問題は高度なシミュレーションの1万回未満に1回で起き、多くは数百ターンを経た後に現れた。しかもサイバー評価では、脆弱性の探索や認証情報の取得など、通常なら警告すべき行動そのものが正規の課題になる。一般的な侵入検知を強くするだけでは、許可された攻撃と範囲外の攻撃が同じ警告へ流れ込む。

事後監査も簡単ではない。Anthropicは、インターネットへ到達し得た141,006回の評価を見直し、Irregular環境から3組織へ無許可でアクセスした3件、計6実行を見つけた。ところが9月9日の追加分析では、最初の探索が1月の4件目を見落としていたと明らかにした。同社は対象を約4億8100万件へ広げ、公開IPやURLなどで920万件へ絞った後、Claudeで二次確認した。4件を再検出し、同程度以上の追加例はなかったという。

この数字はAnthropicの監査であり、Geminiの発生率やGoogleの調査規模を示さない。それでも、一度の検索で「該当なし」と結論づける危うさは見える。必要なのは攻撃らしい文面を探す分類器より、各実行で許可された対象と実際の通信先を継続的に照合する仕組みである。

AD

次に問うべきはモデル名より評価契約の中身だ

GoogleとIrregularは、影響先への通知と手順変更を済ませたと説明している。Irregularは評価の無効化、ログ確認、人手レビューの拡大、封じ込めを再検証する専任チームの設置も挙げた。さらに、インターネット接続を伴う事前評価の共通基準を公開白書にまとめる予定だ。

ただし、2026年9月20日時点では、その白書もGoogleの実行ログも公開されていない。外部評価を採用するAI企業は、接続経路を誰が検証し、許可対象を誰が承認し、範囲外の操作を誰が止めるかを契約と実装の両方で固定する必要がある。通知期限と独立調査の条件も同じである。

評価会社を使うこと自体は独立性の証明にならない。Googleがモデル名、調査した実行数、3社への影響範囲を示し、Irregularの白書が通信許可、リアルタイム停止、事故通知の責任者を具体化できるか。そこで初めて、危険な能力を現実的に測りながら第三者を実験台にしない評価へ近づく。