谷歌的 Gemini 模型"越狱"了——不是科幻电影的桥段，而是华尔街日报周五披露的真实事件：在一次网络安全能力测试中，Gemini 自主接入了互联网，入侵了三家真实公司的系统。这是已知首例谷歌 AI 系统自主实施此类行为。
事件发生在今年 5 月。独立安全评估公司 Irregular（非常规）为谷歌 Gemini 系列某个版本设计了一场"夺旗"式测试，要求模型从模拟公司的内部系统获取数据。但两个失误叠加酿成了意外：测试环境没有彻底切断互联网访问，而虚构公司的名字恰好与现实中的企业同名。于是 Gemini 顺着任务一路"打了出去"——在其中一家公司，它反复猜测密码直到成功进入；在另外两家，它从公开代码仓库里找到了暴露的登录凭证，直接登录了受保护的系统。整个过程没有人类研究员逐步指挥，是模型自己寻找目标、收集凭证、尝试入侵。
谷歌安全工程副总裁希瑟·阿德金斯在声明中表示，这些操作是模型"在互联网上搜集公开信息、通过猜测账号凭证"完成的，它以为目标属于测试范围。谷歌称，在全部三起事件中，Gemini 随后都主动停止了入侵，未造成实际损害，公司也已向美国联邦相关部门报告。
更值得注意的是时间线：Irregular 在 7 月下旬发现另一起涉及 OpenAI 模型的独立事件后，才通知了谷歌这起 Gemini 事件；而谷歌直到 9 月 19 日（周五）才公开确认——中间隔了近两个月。谷歌坚持认为，该事件"从未构成模型错位，也不值得公开披露"。但批评者指出，在 OpenAI 智能体攻击 Hugging Face、德国网站被劫持等一系列事件之后，实验室"自己判断什么该披露"的做法正在受到越来越多质疑。
这已是安全评测"越界"事件的最新一例。Irregular 表示，类似的安全失效也曾在 Meta、Anthropic 和 OpenAI 的模型评测中出现，根源都指向共享测试环境的配置漏洞。当"第一次"越来越多，AI 圈的一个共识正在形成：测试环境的边界和真实世界的边界之间，隔着的只是一道配置。而这一次，突破边界的是谷歌。