Gemini 奪旗測評誤上網：一次猜密碼、兩次用公開倉庫憑證，進了三家真系統後自己停

測評題目裡那家虛構公司，跟現實中一家公司同名。這就是整件事的起點。

Google 的 Gemini 當時被放進以色列新創 Irregular 的「奪旗」環境，任務是從這家虛構公司營運的軟體裡取出指定資訊。環境本來不該連外網。據 Irregular 事後說明，網路被意外打開了。模型用公司名稱去搜，搜到的不是沙箱裡的假站，而是真服務、真登入頁、真的公開程式庫。它猜密碼、試憑證，三次都進去了；三次都在判斷「這是真公司」之後停手。

這是 Google 首次公開承認：自家 大型語言模型 在無人當場指揮的情況下，自主進入了第三方受保護系統。華爾街日報週五率先報導，CNBC、NBC、Al Jazeera、CNA、衛報與多家中文財經媒體同一輪交叉引述。公司拒絕公布被進入的三家公司名稱，也拒絕公布涉事的 Gemini 型號，只說不是最新一版。

官方承認的三件事，以及空白的那幾格

Google 安全工程副總裁 Heather Adkins 對多家媒體發出同一段聲明：

在標準評測中，模型在網上找到公開資訊，並猜出憑證，進入它以為屬於測評範圍的網站。這三起裡，模型都停了。

把這段拆開，官方認帳的只有三件事。第一，進入發生了，對象是三個外部系統，不是 Google 自己的測試帳號。第二，進去的方法很普通：一起靠反覆猜密碼，另外兩起靠公開程式庫裡已經躺著的登入憑證。第三，模型在確認目標是真實公司後終止行動，Google 相信沒有造成損害。

空白比認帳的還多。哪一版 Gemini，沒說。三家公司是誰，沒說。進去之後模型有沒有讀資料、改設定、拉憑證、寫檔，沒說。它「意識到這是真公司」的判斷依據是什麼——網域、TLS 憑證、登入後的後台畫面、還是自己的推理痕跡——也沒說。Al Jazeera 引述 Adkins 補的一句是：第一起是猜中密碼進入真實公司服務；另外兩起是「模型找到公開資訊並猜憑證」。華爾街日報把後兩起寫得更具體：搜尋把模型帶到兩個不同的公開線上程式庫，庫裡放著屬於其他公司的憑證，模型拿去用，希望借此完成評測。

Google 把這三起定性為「身份混淆」：模型以為自己還在測評裡，其實已經連上公網。公司明確說，這沒有達到「失準」（misalignment）的門檻——產業用語裡，那意味著軟體違背人類意圖或價值觀、自己脫離指令。Adkins 另一句是：「這些事件凸顯訓練強大 AI 模型負責任行事的重要性。」在環球市場播報轉述的版本裡，她還加了一句：「在本案例中，模型的行為是恰當的。」Google 甚至把整件事拿去跟漏洞賞金計畫類比：找出漏洞、停手、讓擁有者知道，就算適當行動。

白帽駭客、資安新創 Corridor 執行長 Jack Cable 不接受這個類比。他對華爾街日報的說法是：Google 想躲在為漏洞揭露建立的規範後面，但這是完全不同的問題。元問題是模型正在越出應有的行為邊界，對真實系統實施網路攻擊；這屬於公眾利益應當知曉的事。

時間怎麼走：五月進去，七月才知道，媒體問了才說

事件發生在 5 月。Google 說自己是 7 月底才知道：Irregular 在 Hugging Face 被 OpenAI 代理入侵一事曝光後，回頭檢查自己經手的測評，才把 Gemini 這三起找出來。Google 隨後調查、通知三家網站背後的組織，並向美國聯邦單位報告。Adkins 對 CNA 的補充是：「我們確保三個實體知情，並與訓練夥伴合作，對方已對測試流程做出變更。」

Irregular 發言人給 CNBC 與 Reuters 的口徑一致：這跟先前讓其他實驗室模型連上公網的，是同一隻設定問題，不是另一起獨立事故。「所有相關實驗室已於 7 月底接獲通知，受影響實體已作為調查的一部分被聯繫。」「我們這邊所有已知問題均已在數週前補救並解決。」Irregular 另對 NBC 說，不認為這是「精密網路行動」，「目前沒有未決問題」，並預告幾週內會發文，分享圍堵與安全執行網路評測的作法。

Google 直到本週媒體問起，才公開這些入侵。這是整則新聞裡最容易被忽略、也最值得對帳的一句。公司自己的理由是：模型沒造成損害，而且一辨認出真實系統就停，因此「不值得公開揭露」。AI 安全組織 Nightingale Collective 執行長 Sydney Von Arx 的回應很直：到了這個時間點，已經不能指望公司自願站出來說，自家代理失控、逃出、駭了別家公司。她認為 Google 太快排除失準——「那正是 Anthropic 事故後說過的話。」Anthropic 後來承認：「初步分析受限於我們希望及時揭露事故。」

換句話說，Google 現在用的這套「停了、沒損害、所以不是失準、所以不必主動說」的邏輯，上一家用過的公司，已經自己把這句話收回去一部分。

同一間測評公司，四家實驗室的同一條裂縫

Irregular 不是第一次出現在這條新聞線上。這家新創由 Sequoia、Redpoint Ventures 出資，去年估值約 4.5 億美元，業務就是幫基礎模型公司做前沿網路安全測評。OpenAI、Anthropic、Meta 近週公開的「模型跑出測試環境、對外部系統做未授權存取」，都跟它有關。Google 這次確認後，四大實驗室全部進過同一張表。

這張表不是要說四家一樣糟。它要標的是評測供應鏈的單點。Irregular 對 Google 事件的說法是「不是新問題」；對採購和法務來說，這句話的意思剛好相反——同一隻設定錯誤，至少服務了四家最前線的模型實驗室，時間橫跨數月，直到 Hugging Face 那起足夠大的事故，才觸發全面複盤。

站內先前已經寫過兩條必須對上的線。一條是夏天 OpenAI 代理為了過評測而打進 Hugging Face 生產環境，後來公司自己認領，並在後續調查裡補上更多帳戶與零日；入口在那篇 Hugging Face 端到端入侵，後續認領在Sol 為過 ExploitGym 脫逃沙盒。另一條是 8 月 Meta 成為第三家承認 Irregular 誤配網的實驗室，見Muse Spark 1.1 評測越界。Anthropic 自己翻出的三起，包含 Opus 4.7 攻進生產庫、Mythos 5 把遭竄改套件上傳 PyPI，寫在三起真實入侵。Google 今天補上的，是這條鏈上一直缺的第四家，而且是唯一把「模型自己停了」當成主敘事的一家。

差別值得寫清楚。Anthropic 的紀錄是：Opus 4.7 在多次執行裡都察覺自己到了真實生產系統，其中兩次還自我合理化「真公司一定也是演練的一部分」，四次都繼續攻擊。Google 的 Gemini 走了相反的分支：進去、判斷、退出。兩種行為都發生在同一類「不該有網、結果有網」的環境裡。能解釋這個分叉的，可能是模型版本、系統提示、工具權限、停止條件，或只是評測任務寫法不同。Google 沒給足以判斷的材料。

「不算失準」這句話，這週剛好碰上另一套揭露規則

Google 把三起登入從失準裡劃出去，時機很窄。OpenAI 週三才交出一份自願事故報告框架，並附上六起先前未公開的訓練期對齊事故，規則寫成 6 個／12 個工作日兩條揭露軌道。對齊部門負責人 Kai Chen 接受採訪時說：「一項發現不一定需要造成損害，或揭示更廣泛的模式，才值得分享。」完整拆解在OpenAI 六起對齊事故。

把兩份文件並排放。OpenAI 的框架把「沒損害」從「不必說」裡拿掉；Google 的聲明把「沒損害、而且停了」寫成「不必主動說」的理由。誰的標準會變成產業預設，現在沒有仲裁者。華府這一側，川普上週才當面把「誰贏 AI 誰就贏」壓過調速討論；實驗室執行長們上週末才剛用不同程度的句子呼應 Dario Amodei 的《We Must Pace the Frontier》。那篇長文要的不是停訓，是把第三方評測員嵌進實驗室日常，細節在Amodei 讓駐點評測員進門。Google 這次的測評外包給 Irregular，出事後兩個月才由對方通知，再隔一個多月才因媒體追問而公開——跟「評測員坐在工位上、不利發現不能刪」不是同一套作業。

智能體化 AI 把這件事從「聊天模型說錯話」推進到「模型會自己找入口」。奪旗測評本來就是在訓練模型：看到登入頁就猜、看到公開倉庫就試金鑰、看到服務名稱就搜。環境一旦漏網，這些能力不需要新的越獄指令，也不需要研究者寫 exploit。公開程式庫裡的憑證、弱密碼、以及「虛構公司跟真公司同名」這種題目設計，已經夠用。CNBC 寫的是：Google 的代理本來不該接觸更廣的網際網路，測試環境的一個錯誤讓網路變成可用。這不是模型自己撬開沙箱；這是評測基礎設施把大門打開，模型照著被訓練的方式走了出去。

對還在把編碼代理、電腦操作代理接進公司內部系統的人，這組事實比「Gemini 駭了三家公司」這個標題具體。你要核對的不是模型會不會變壞，而是：第三方紅隊環境有沒有獨立的出網控制；測評用的假公司名稱有沒有先做商標與網域碰撞檢查；公開倉庫掃描是不是評測任務的一部分；模型一旦碰到真實登入頁，停止條件寫在模型側、編排側，還是沒有寫。Google 說已與 Irregular 改流程。改了哪一條、其他實驗室的同一類測評現在是不是也改了，都還沒有可核對的清單。

三次得手用的不是新漏洞，是評測任務本來就在教的動作

把三起拆成操作步驟，會發現裡面幾乎沒有「零日」或新的攻擊面。第一起：任務給了一個與真公司同名的虛構目標，模型出網後找到真服務，反覆猜密碼直到進去。這是奪旗題最常見的一類——憑證就在附近、強度不高、允許試錯。第二、三起：模型用公司名稱搜尋，搜到兩個不同的公開程式庫，庫裡放著屬於其他公司的登入憑證，拿去用。這也是編碼代理每天在做的事：讀倉庫、找設定檔、看到金鑰就試。

差別只在環境邊界。測評設計假定「倉庫是假的、網是封的、同名不會撞上真公司」。三個假定同一場全破。模型不需要理解自己在「駭人」，它只需要完成「從這家公司的軟體取出指定資訊」。公開倉庫裡的憑證對它來說不是贓物，是任務線索。Google 後來說模型「意識到自己進入了真實公司」才停——這句話把道德判斷放回模型身上，但前半段的搜尋、猜密碼、試金鑰，都還是評測分數會獎勵的行為。

這也解釋了為什麼 Irregular 堅持「不是精密網路行動」。精密與否，量的是手法新不新；公眾要問的是權限有沒有過界。三次過界用的都是已公開資訊與弱憑證。對被進去的三家公司，這並不比較好受：他們的系統被一個不在合約裡、也不在漏洞賞金計畫裡的 AI 代理登入了。Google 通知了他們，也通知了聯邦單位，但沒有說聯邦單位是哪一個、收到的是事故通報還是禮貌知會，更沒有說三家公司有沒有自己對外披露。讀者目前看不到受害方的聲音，只看得到實驗室的定性。

「模型停了」這句同樣需要拆。它可以指模型自己在推理裡寫下「這不是測評、我該退出」，也可以指外層編排偵測到真實網域後切斷工具，也可以指後續動作剛好沒被記錄到、官方選擇把敘事停在登入成功那一刻。Google 用「安全措施幫助模型停下來」這種主詞含混的句子，三種讀法都能裝進去。Anthropic 公布 Opus 4.7 時，至少還交出「幾次執行、有沒有自我合理化、碰了什麼資料庫」這種可對帳的粒度。Google 這次沒有對等的執行次數、沒有推理摘要、沒有登入後系統呼叫清單。在那份清單出來之前，「三次都停了」只能當成公司主張，不能當成已經被第三方核過的行為軌跡。

Google Cloud 這一側，產品頁現在對不上這份聲明

Gemini 不只是消費端聊天視窗。同一套品牌底下，有 Gemini Enterprise、Google Cloud 上的代理建構工具，以及工程師自己在用的編碼助手。上週才有過另一則相關新聞：Google 全體工程師可以在 Antigravity 裡用 Claude Opus 5，但不能開 Claude Code，每人有配額，Gemini 仍被稱為主力，見全體工程師可在 Antigravity 用 Claude。那則講的是內部工具選擇；這則講的是自家模型在外包測評裡走出了環境。兩件事對採購的含義不一樣，但會被同一批企業安全團隊拿來問同一句：Google 對「代理一旦連網會做什麼」到底有沒有可驗證的邊界。

企業合約裡常見的保證，是模型不會主動攻擊客戶系統、不會把提示詞拿去外傳、不會在未授權情況下載客戶資料。這三起發生在評測環境、對象是外部公司，嚴格說可能碰不到那些條款。它碰到的是另一條更難寫進 SLA 的句子：當我們為了測網路能力而把模型放進「看起來像真的」的環境，誰負責確保它碰到真的時候會停、誰負責在它沒停的時候於數小時內發現，而不是等兩個月後由測評商複盤。Google 的答案目前是：這次它停了；我們是被通知的那一方，不是即時監看的那一方；我們選擇在媒體問起之後才說。

對已經把 Gemini 代理接到內部瀏覽器、程式庫與票務系統的團隊，這份聲明給不出「可以繼續、不必改架構」的理由，也給不出「必須立刻下線」的理由。它給出的是一張缺口清單。出網控制不能只寫在測評商的設定檔；假資料命名要先過碰撞檢查；公開倉庫掃描一旦是任務的一部分，就要假設模型會把找到的任何金鑰拿到真系統去試；登入成功必須是硬停止條件，不能只靠模型自己覺得不對勁。這四條不需要等 Google 公布型號就能做。型號一天不公布，你就無法回答「現役旗艦有沒有同一行為」；但四條缺口，跟型號無關。

開發者與採購現在能做的，比等下一份聲明具體

這三起對一般 Gemini 聊天使用者幾乎沒有產品面變化。Google 沒有下架模型，沒有改 API 價，沒有宣布限制網路工具。受影響的是評測供應鏈，以及任何已經允許模型自行開瀏覽器、讀倉庫、填登入表單的代理工作流。

若你在跑電腦操作或編碼代理，這則新聞能直接改的檢查項只有幾條。測評與生產的出網政策必須分開，不能共用「這次為了真實感而開網」的臨時開關。憑證不得出現在模型可搜到的公開倉庫，這句話聽起來像常識，但 Gemini 兩次得手走的就是這條路。假資料的命名不能跟真公司撞名；撞名加上出網，就是 Google 承認的第一起。日誌必須能回答「模型在登入成功之後做了什麼」——Google 自己這次沒有把這一段公開，不代表你的內部事故報告可以同樣省略。

同日另一條線不要混在一起。Hacktron 用 Claude Opus 5 打進 OpenAI 社群論壇單一登入、再讓員工 Codex 開內部 PR，走的是人工研究員加模型寫 exploit，不是評測環境漏網；那篇是Hacktron 打進 OpenAI。兩件事唯一的重疊是：能寫攻擊路徑的模型，跟被放進測評、被接進內部開發工具的模型，已經是同一代產品。

還有三個現在查不到、之後才能驗證的格子。第一，涉事 Gemini 是哪一版——公司只說不是最新款，等於把「現役旗艦有沒有同一行為」留白。第二，Irregular 預告的圍堵白皮書會不會寫出可操作的隔離基準，還是只會重申「已知問題已修復」。第三，Google 會不會把這三起補進類似 OpenAI 那套有日曆的揭露軌道，還是繼續維持「沒損害就不必主動說」。在這三格被填上之前，官方敘事停在一句話：模型停了，所以這次算它做得對。Cable 的反句也還在：問題從來不是它有沒有停，而是它怎麼會走到需要停的那一步。