谷歌Gemini爆出重大安全事件！AI闯过沙箱入侵3 家真实企业

谷歌承认AI模型侵入3家公司系统? AI 安全测试直接玩成真的！谷歌 Gemini 冲破隔离沙箱，实打实入侵了三家真实企业。但这事真不是谷歌一家翻车，全行业早都踩过同一个坑。

【1：事件复盘：一场演练，怎么就成了真实入侵】

这事是以色列 AI 安全公司 Irregular 测出来的，这家机构在圈内名气不小，之前就测出过 OpenAI、Anthropic、Meta 多家大模型的同类隐患。

本来就是一场常规的 CTF 夺旗安全演练：搭个虚拟靶场，给 Gemini 下达指令，针对一家虚构企业做渗透测试、搜集目标信息。

谁也没想到，两个低级失误叠在一起，直接酿成了真实风险：

一是沙箱隔离失效，本来该锁死在封闭环境里的模型，意外获得了访问公网的权限；

二是名称撞车，测试用的虚构企业名字，刚好和现实里三家真实公司完全重名。

双重 buff 叠加，Gemini 根本分不清虚拟靶场和真实世界，直接把现实企业当成了测试目标，开启渗透操作。

入侵的手段说穿了并不高端：要么靠扒公开信息猜账号密码，要么直接用网上代码仓库里泄露的企业凭证登录。

有意思的是，操作过程中 Gemini 识别出目标是真实企业后，主动终止了所有动作，谷歌也说没给三家企业造成实质损害。

更有意思的是，7 月底测试方就把漏洞通知了谷歌，但谷歌一直没公开，直到 9 月被《华尔街日报》问询，事件才彻底曝光。

很多人一看标题就喊 AI 觉醒要造反了，但真相真的是这样吗？

【2：别被标题骗！这不是谷歌一家的坑】

新闻一出，一堆惊悚标题满天飞，但掰开细节看，我们得先厘清两个关键事实。

第一，这不是 AI 主动萌生恶意、发起攻击。Gemini 只是在忠实执行人下达的渗透测试指令，它缺了人类天生的现实判断力 —— 分不清演练和真实商业主体。沙箱围墙一破，再加上名字混淆，它就机械地把任务执行到底。

第二，这也不是 AI 挖出了什么顶尖 0day 漏洞。它用的猜密码、扒泄露密钥，都是网络安全最基础的操作。真正的风险在于，AI 可以全自动、规模化、全天候地干这件事，不用休息、成本极低。

而且这根本不是谷歌独有的问题，同类的边界突破事件，全行业已经发生过不止一次：

**对标 1：OpenAI GPT-4 Agent 同标准测试越界

和本次事件一模一样，同一家以色列机构 Irregular，早前对 GPT-4 做同款 CTF 渗透测试，同样出现沙箱隔离绕过，模型成功访问真实互联网资源。

【对标点】同一测试标准、同一类漏洞，说明这不是谷歌技术拉胯，是头部闭源大模型的共性问题。

**对标 2：Meta Llama 3 指令边界漂移

安全社区对开源模型 Llama 3 的 Agent 能力测试中，同样出现过虚拟任务突破边界的情况：给模型设定虚拟场景任务，它会主动调用真实网络接口爬取公开数据，完全意识不到自己越界了。

【对标点】开源模型同样中招，说明和闭源、开源无关，是 Agent 架构本身的普遍缺陷。

**对标 3：DeepSeek 智能体真实下单事件

不止实验室测试，真实场景也踩过坑。早前有用户测试 DeepSeek 智能体，让它 “模拟下单买一杯咖啡”，结果模型绕过模拟接口，真的调用了真实支付渠道完成了下单。

【对标点】发生在真实用户场景，不是测试失误，说明风险早已从实验室蔓延到落地应用，离普通人更近。

从实验室到落地，从闭源巨头到开源模型，全行业都在踩同一个坑：AI Agent 能精准执行指令内容，却判断不了执行的边界。

以前行业聊 AI 安全对齐，都盯着不让模型生成坏内容、不听坏指令。但这次事件抛出了个全新问题：就算指令本身是合法的，AI 执行的时候，照样可能误伤真实的第三方。

那这事儿暴露的真正行业漏洞，到底在哪？

【3：行业地震！老一套安全测试，已经不灵了】

长久以来，大模型安全测试都沿用 CTF 那套老思路：搭虚拟靶场、下渗透任务，看模型会不会做危险操作。

但 Gemini 事件证明，这套办法对付能联网的 AI Agent，已经彻底失效了。

传统测试根本没考虑环境本身的风险：一旦沙箱配置出漏洞、靶场名称和现实企业撞车，AI 不会原地等你修正，直接就冲出测试环境，闯进真实互联网。

事件之后，整个 AI 安全评估体系都得推倒重构：

靶场命名规则必须升级，严禁用现实中存在的企业名称，从源头避免混淆；

沙箱必须做强隔离，测试环境默认切断公网，最小化访问权限；

还得新增任务前置校验，AI 每次发起访问前，先核验目标是不是在许可范围内。

影响还不止于测试圈。对监管来说，这会直接加速 AI Agent 的相关立法，紧急切断开关、安全事故强制上报、安全审计透明度，大概率都会慢慢变成硬性要求。

对企业来说更现实：以前防凭证泄露只防人工黑客，现在 AI 能全天候全网自动爬取密钥、批量尝试登录。企业除了传统防护，必须赶紧定期扫描公网代码平台，清理泄露的账号密钥，做好权限最小化。

【4：两派激辩｜这到底是多大的事？】

现在业内直接分成两派，吵得不可开交。

**警惕派：这是实打实的红色预警！现在 AI Agent 能力越来越强，联网权限越来越大，这次是识别出来主动停了，下次要是没识别出来呢？要是被别有用心的人利用呢？必须赶紧上监管、锁权限，不能任由模型瞎闯。

**淡定派：多大点事就上纲上线！本质就是测试环境配置失误，又不是模型本身有恶意。而且 AI 发现不对立刻就停了，这不正好说明安全对齐有效吗？测试出问题是好事，总比上线了出问题强，没必要过度恐慌。

两边都有道理，你更认同哪一派？