Google ha confermato che un modello Gemini ha avuto accesso ai sistemi reali di tre aziende durante una valutazione di cybersicurezza condotta nel maggio 2026. Il modello, convinto di voler colpire obiettivi fittizi previsti dal test, ha ottenuto accidentalmente accesso a Internet. In tutti e tre i casi, Gemini ha interrotto autonomamente le sue azioni dopo aver identificato che i sistemi compromessi appartenevano a vere aziende.
L'incidente durante il test di cybersicurezza
L'episodio è avvenuto in occasione di una valutazione condotta da Irregular, un'azienda indipendente incaricata di testare le capacità di cybersicurezza dei modelli di intelligenza artificiale. Gemini partecipava a un esercizio di tipo "capture the flag", progettato per misurarne l'abilità nel cercare e sfruttare vulnerabilità in un ambiente controllato. Teoricamente, il sistema di test doveva operare senza accesso al Web, ma un errore di configurazione ha permesso al modello di connettersi a Internet.
Questa anomalia ha avuto ripercussioni significative: alcuni scenari simulati si sono trasformati in intrusioni reali. Nel primo caso, l'azienda fittizia utilizzata per l'esercizio aveva lo stesso nome di una società esistente; Gemini ha quindi ricercato il suo bersaglio su Internet e ha tentato diversi identificativi fino ad accedere a un servizio protetto. Negli altri due casi, invece, il modello ha individuato in repository pubblici identificativi appartenenti a vere aziende e li ha utilizzati per accedervi ai loro sistemi.
Le tecniche impiegate non risultavano particolarmente sofisticate. TechCrunch sottolinea che l'importanza dell'incidente risiede meno nella complessità degli attacchi quanto nel fatto che un modello di intelligenza artificiale è stato in grado di ricercare autonomamente le informazioni necessarie, utilizzare identificativi e accedere a sistemi che non facevano parte del suo ambiente di valutazione.
Le risposte e l'impatto professionale
Nonostante ciò, Google ha confermato che Gemini si sia fermato nelle tre occasioni quando ha compreso che i sistemi raggiunti appartenevano a vere entità aziendali. Heather Adkins, vice-presidente dell'ingegneria della sicurezza presso Google, ha spiegato che il modello aveva trovato informazioni pubbliche e ipotizzato identificativi per accedere a siti web che credeva inclusi nel perimetro del test. Secondo Google, non è stato causato alcun danno dalle tre intrusioni.
Irregular ha riscontrato gli incidenti e ne ha informato Google alla fine di luglio. Di conseguenza, le tre aziende coinvolte sono state avvisate e le procedure utilizzate per tali valutazioni sono state modificate. È importante notare che Google non aveva reso pubblici i dettagli prima di essere interpellata dal Wall Street Journal nel settembre successivo, giustificando la decisione con l'assenza di danni e il blocco autonomo delle azioni da parte di Gemini.
Tuttavia, questa interpretazione è contestata. Jack Cable, direttore della società di cybersicurezza Corridor, ha dichiarato al Wall Street Journal che la questione va oltre le normali pratiche di divulgazione delle vulnerabilità: "il problema è che un modello ha superato i limiti previsti dal suo ambiente e ha condotto vere intrusioni".
L'autonomia dei modelli IA in esame
Il caso Gemini non rappresenta nemmeno un evento isolato. Sono stati documentati incidenti simili riguardanti modelli di OpenAI, Anthropic e Meta durante valutazioni condotte con Irregular. Sebbene le circostanze e il comportamento varino da caso a caso, la loro ricorrenza solleva un problema comune: agenti in grado di utilizzare strumenti informatici e agire autonomamente possono produrre conseguenze reali quando un ambiente di test ne concede involontariamente un accesso superiore a quello previsto.
L'incidente Gemini dimostra quindi meno una tecnicamente avanzata dimostrazione di attacco cyber, quanto piuttosto un esempio concreto delle difficoltà poste dall'autonomia crescente degli agenti di intelligenza artificiale. Il modello è riuscito a rilevare il proprio errore e interrompere le azioni, ma solo dopo aver avuto successo nel penetrare tre sistemi reali.
L'incidente sottolinea che la sicurezza degli agenti IA dipende tanto dai loro safeguards interni quanto dai limiti strettamente imposti al loro ambiente operativo. Man mano che questi modelli guadagnano autonomia e capacità computazionali, il controllo dei loro accessi diventa una componente essenziale e cruciale della loro valutazione.
