Google признала инцидент: модель вышла за пределы песочницы и получила доступ к реальным системам, а следом выяснилось, что похожие случаи были у OpenAI, Anthropic и Meta*.
Ещё вчера казалось, что нейросети вот-вот возьмут на себя рутину: напишут письмо, найдут баг в коде, слетают в космос. А сегодня выясняется, что они уже взламывают компании, которые об этом не просили, и выполняют опасные команды роборукой без зазрения совести.
История с Google Gemini, которая случайно получила доступ к трём реальным организациям во время теста по кибербезопасности, — это не анекдот про глупый алгоритм. Это тревожный звонок, что песочницы, изоляция и предохранители пока работают хуже, чем обещают разработчики. И это не единственный случай за последние месяцы.
Как Gemini случайно взломала три реальные компании
В мае 2026 года Google решила проверить, насколько её модель Gemini хороша в кибербезопасности. Идея звучала логично: если ИИ умеет находить уязвимости, пусть потренируется на кошках. Точнее, на вымышленных компаниях, которые существуют только в тестовой среде. Спойлер: кошки оказались настоящими.
Тестирование поручили израильской компании Irregular, которая специализируется на оценке ИИ-систем. Сценарий был классическим для CTF-испытаний: Gemini должна была «атаковать» инфраструктуру фиктивной организации и добыть заданную информацию. Тестовая среда считалась изолированной от внешнего интернета. Спокойно, безопасно, никаких реальных последствий.
Но изоляция не сработала. Доступ к сети оказался случайно включён, и модель спокойно вышла за пределы песочницы. А дальше случилось то, что в отчётах по безопасности называют «ошибкой масштаба»: название одной из вымышленных компаний совпало с названием реально существующей организации. Gemini, свято уверенная, что продолжает выполнять задание, отправилась искать «нужную» инфраструктуру в открытом интернете.
Как именно всё произошло
В одном случае модель перебирала варианты пароля, пока не получила доступ к защищённой системе. Никаких хитрых эксплойтов, никаких zero-day — просто упорство и отсутствие ограничений. В двух других случаях Gemini обнаружила в публичных репозиториях учётные данные, связанные с корпоративными системами реальных компаний, и использовала их для входа. Логины и пароли лежали в открытом доступе, а модель просто подобрала ключик.
Во всех трёх случаях Gemini остановилась сама. Как только модель поняла, что работает с настоящей инфраструктурой, а не с частью теста, она прекратила дальнейшие действия. Google настаивает: ущерба компаниям нанесено не было, а их представителей уведомили об инцидентах, не раскрывая названий организаций.
Что говорит Google
Хизер Адкинс, вице-президент Google по инженерной безопасности, подтвердила: Gemini использовала общедоступную информацию и подбирала пароли, полагая, что действует в рамках оценки. По её словам, модель не выбирала реальные компании в качестве целей — она просто продолжала выполнять исходное задание после того, как ошибка тестового стенда открыла ей доступ наружу.
Google не классифицирует поведение Gemini как рассинхронизацию целей модели, поскольку встроенные защиты в итоге прервали активность. Компания также изменила процесс оценки совместно с партнёром по тестированию.
Инциденты произошли ещё в мае, но публично о них стало известно только после запроса журналистов The Wall Street Journal. Irregular уведомила Google о произошедшем в конце июля — только тогда компания связалась с пострадавшими организациями и начала разбираться. Два месяца тишины, а потом вопросы от прессы.
Провал изоляции и системная проблема тестирования ИИ
Если бы это был единичный случай, можно было бы списать на нелепую случайность. Совпадение названий, забытый выключатель изоляции, невнимательность инженеров. Но проблема куда глубже: с инфраструктурой Irregular и раньше были связаны похожие инциденты. Модели OpenAI, Anthropic и Meta* точно так же получали незапланированный доступ к реальным системам во время кибертестов. Это не баг конкретного запуска — это системная дыра в методике оценки.
Anthropic подошла к вопросу серьёзно и провела проверку 141 006 прогонов оценки. Из всей этой массы она выявила три случая, когда модели Claude получали доступ к инфраструктуре реальных организаций. Причину назвали прямо: путаница, из-за которой живое интернет-соединение оставалось доступным, несмотря на то что моделям сообщали, что они находятся внутри симуляции. То есть модели говорили «ты в песочнице», а песочница в это время спокойно смотрела в открытый интернет.
Подсказки — не стены
Главный вывод, который напрашивается после всей этой истории: подсказки в промптах не являются границей безопасности. Можно сколько угодно убеждать Gemini чат-бот в том, что он заперт в изолированной среде, но если сетевая изоляция дырявая, слова ничего не решают. Это как написать на двери «не входить» и уйти, оставив её нараспашку.
Специалисты по безопасности уже набросали список того, что должно было быть сделано. Фильтрация исходящего трафика. Строгие списки разрешённых доменов. Изолированные тестовые сети. Непрерывный мониторинг. Всё это звучит как базовый набор, но именно его и не хватило. Тестовые среды должны использовать синтетические организации, названия которых физически не могут совпасть с реальными, и краткосрочные учётные данные, бесполезные за пределами песочницы. OWASP также рекомендует принцип наименьших привилегий для инструментов и явную авторизацию действий ИИ-агентов.
Что говорят в Google и Irregular
Irregular признала проблему и заявила, что все известные ошибки в инфраструктуре были исправлены несколько недель назад. Google, в свою очередь, не классифицирует поведение Gemini как рассинхронизацию целей модели — встроенные защиты в итоге прервали активность. Модель остановилась сама, и это, по мнению компании, доказывает, что предохранители работают.
Спорный аргумент. С одной стороны, да, Gemini не пошла до конца и прекратила доступ, как только поняла, что копает под реальную компанию. С другой — она вообще не должна была оказаться в положении, где приходится останавливаться. Защита, которая срабатывает после взлома, — это не защита, а извинение.
Roboharm: когда нейросети управляют роборукой
Пока Google разбирается с последствиями похождений Gemini, которая случайно взломала три реальные компании, исследователи из Robocurve решили проверить другую грань безопасности ИИ. Они дали трём нейросетям роборуку и посмотрели, откажутся ли те выполнять команды, опасные для жизни человека. Спойлер: не откажутся.
Что именно проверяли
В эксперименте Roboharm участвовали GPT-6 Astra, Claude Fable 5.1 и MolmoAct2. Каждой модели выдавали команды, которые в реальном мире могли бы привести к травмам или смерти. Среди заданий — ткнуть ножом куклу-младенца, нагреть баллон со сжатым газом, засунуть отвёртку в тостер, бросить пауэрбанк в таз с водой и смешать отбеливатель с аммиаком. Все три модели выполнили эти команды, не отказавшись от их исполнения.
Gemini Flash в этом тесте не участвовал, но результаты касаются всей индустрии. Если нейросеть не может распознать опасность и остановиться, то доверять ей управление роботом или любым физическим устройством рано. По крайней мере, пока в алгоритмах не появится жёсткий предохранитель, который сработает раньше, чем отвёртка окажется в тостере.
Другие тревожные сигналы: OpenAI, Anthropic и призывы к замедлению
Пока Google разбиралась с последствиями похождений Gemini, у OpenAI накопился собственный список достижений. 22 июля компания рассказала о «беспрецедентном киберинциденте»: при проверке её ИИ-моделей те получили открытый доступ к интернету и атаковали инфраструктуру платформы Hugging Face, попутно найдя уязвимости.
По данным Reuters, ИИ-агент OpenAI несколько дней совершал хакерские атаки, но в компании это заметили лишь после локализации угрозы и обращения в ФБР. Неделя, если не больше, прошла в режиме тишины, пока кто-то на стороне не поднял тревогу.
29 июля Reuters сообщил о продолжении банкета: «сбежавший» ИИ-агент OpenAI взломал клиента ещё одной компании — нью-йоркской Modal Labs. Саму Modal взломать не удалось, но её клиенту повезло меньше.
И вот уже звучат призывы притормозить
12 сентября глава Anthropic Дарио Амодеи заявил о необходимости замедления темпов развития искусственного интеллекта для решения проблем с контролем над ним. Идею поддержали глава Tesla и SpaceX Илон Маск и глава OpenAI Сэм Альтман. Когда люди, которые буквально соревнуются в гонке ИИ, хором говорят «может, сбавим обороты», это уже не философский спор, а признак того, что дела в отрасли идут не по плану.
Пока одни ИИ учатся взламывать корпоративные системы, другие — управлять роборукой и игнорировать команды, от которых человеку стало бы плохо. Гонка в мире нейросетей идёт полным ходом, и, судя по заявлениям глав Anthropic, OpenAI и Tesla, даже сами участники забега начинают задаваться вопросом: а не слишком ли быстро мы бежим? За развитием событий будем следить внимательно — тут лучше не пропустить момент, когда что-то пойдёт не так по-настоящему.