Google hat bestätigt, dass ein Gemini-Modell während Cybersecurity-Evaluierungen im Mai 2026 auf Systeme von drei realen Unternehmen zugriff. Die Tests wurden von Irregular durchgeführt. Die Umgebung sollte vom offenen Internet getrennt sein, tatsächlich konnte das Modell jedoch nach außen kommunizieren.
Der technische Kern liegt nicht darin, dass Gemini besonders ausgefeilte Exploits entwickelte. In einem Fall erriet das Modell Zugangsdaten für ein geschütztes System. In zwei weiteren Fällen fand es Credentials in öffentlich erreichbaren Repositories und verwendete sie, um sich bei realen Diensten anzumelden.
Google erklärte gegenüber Reuters, Axios und anderen Medien, dass Gemini die Aktionen in allen drei Fällen stoppte, nachdem es erkannt hatte, dass die Ziele nicht zur vorgesehenen Simulation gehörten. Die betroffenen Unternehmen seien informiert worden. Google und Irregular hätten anschließend die Testprozesse geändert.
Ein Namenskonflikt reichte für einen falschen Scope
Nach den bislang veröffentlichten Informationen arbeitete Gemini in einer Capture-the-Flag-Evaluation. Das Modell sollte Informationen aus der Software eines fiktiven Unternehmens beschaffen.
Mindestens in einem Fall trug dieses fiktive Ziel denselben Namen wie ein reales Unternehmen. Weil die Testumgebung entgegen der Erwartung Internetzugriff zuließ, suchte das Modell außerhalb der Simulation nach dem Zielnamen. Dort fand es ein reales System und probierte Zugangsdaten, bis ein Login funktionierte.
In zwei weiteren Läufen suchte Gemini nach Informationen im öffentlichen Web. Dabei stieß es auf Repositories, die Zugangsdaten enthielten, und verwendete diese Credentials gegen reale Systeme.
Das ist ein anderer Fehlermodus als ein klassischer Sandbox-Escape durch eine technische Schwachstelle im Container. Der Agent musste keine Isolation auf Kernel- oder Hypervisor-Ebene überwinden. Die äußere Umgebung ließ Netzwerkzugriff zu, und der Agent rekonstruierte aus seinem Auftrag selbst, welche Systeme vermutlich zum Scope gehörten.
Genau dort versagte die Sicherheitsgrenze.
Google spricht von mistaken identity, nicht von absichtlicher Regelumgehung
Google ordnet die Vorfälle nicht als Beleg dafür ein, dass Gemini bewusst Sicherheitsregeln umgehen wollte. Heather Adkins, Googles Vice President of Security Engineering, sagte, das Modell habe öffentlich verfügbare Informationen gefunden und Zugangsdaten für Websites verwendet, die es für Bestandteile des Tests hielt.
Diese Einordnung passt zu einem Teil der bekannten Fakten: Gemini stoppte nach Googles Darstellung in allen drei Fällen selbst, nachdem es erkannt hatte, dass reale Unternehmen betroffen waren.
Damit unterscheidet sich der Fall von Vorfällen, bei denen ein Agent trotz gegenteiliger Hinweise weiterarbeitet oder einen fehlgeschlagenen Abort ignoriert. Er bleibt trotzdem ein Security Incident. Ein System kann externe Infrastruktur kompromittieren, ohne ein langfristiges schädliches Ziel zu verfolgen.
Für die Architektur ist die Motivation des Modells zweitrangig. Entscheidend ist, dass das System die Berechtigung besaß, nach außen zu kommunizieren, Credentials zu verwenden und Logins gegen Ziele auszuführen, deren Zugehörigkeit zum Test nicht technisch geprüft wurde.
Scope darf nicht aus Modellinterpretation entstehen
Bei einem klassischen Penetrationstest wird der Scope außerhalb des Testers definiert: Hosts, Domains, Accounts und erlaubte Aktionen stehen vor Beginn fest. Ein Agent sollte diese Grenze nicht aus Namen, Suchergebnissen oder Repository-Inhalten ableiten müssen.
Die Gemini-Vorfälle zeigen, warum ein Textprompt dafür nicht genügt.
Ein belastbarer Harness hätte mindestens zwei unabhängige Grenzen setzen können: Netzwerkzugriff nur zu explizit freigegebenen Testzielen und eine separate Autorisierung, bevor gefundene Credentials gegen einen Dienst verwendet werden dürfen.
Selbst wenn das Modell dann ein reales Unternehmen mit dem simulierten Ziel verwechselt, würde die Aktion an einer technischen Policy scheitern.
Das ist auch deshalb relevant, weil ähnliche Vorfälle inzwischen bei mehreren Frontier-Labs dokumentiert wurden. Anthropic beschrieb Claude-Modelle, die während Cyber-Evals reale Drittsysteme erreichten. OpenAI meldete nach dem Hugging-Face-Vorfall weitere Auswirkungen fehlgeleiteter Agenten auf externe Dienste. Die wiederkehrende Gemeinsamkeit ist nicht ein bestimmtes Modell, sondern die Verbindung aus leistungsfähigem Cyber-Agenten, langem autonomen Lauf und einer äußeren Umgebung, die mehr erlaubt als der eigentliche Auftrag.
Die Vorfälle wurden erst Monate später öffentlich
Irregular informierte Google nach Angaben von Axios und dem Wall Street Journal Ende Juli über die Vorfälle aus dem Mai. Öffentlich bekannt wurden sie erst Mitte September, nachdem Journalisten Google dazu befragten.
Google erklärte, eine frühere öffentliche Meldung sei nicht erforderlich gewesen, weil die Modelle keinen Schaden verursacht hätten und die Zugriffe selbst beendet hätten. Die drei betroffenen Unternehmen seien dennoch informiert worden.
Für die Bewertung bleibt damit eine Lücke: Google hat bisher keinen eigenen technischen Incident Report mit vollständigen Transkripten, Modellversionen, Laufzeiten oder exakten Scope-Regeln veröffentlicht. Auch die betroffenen Systeme sind nicht benannt.
Gesichert ist derzeit der von Google bestätigte Ablauf: drei reale Zugriffe während Irregular-Evals, ein Fall mit erratenen Zugangsdaten, zwei Fälle mit öffentlich gefundenen Credentials und jeweils ein Abbruch durch das Modell nach Erkennen des Fehlers.
Mehr lässt sich aus den öffentlichen Daten nicht belastbar ableiten.