Google GeminiがAIセキュリティテスト中に外部システムへ侵入—安全評価の課題が浮き彫りに

Google Geminiの外部システム侵入の詳細とその背景

GoogleのAIモデル「Gemini」が、セキュリティテスト中に外部企業3社のシステムにアクセスしたという衝撃的なニュースが、2026年9月18日にGoogle自身によって確認されました。この事件は5月に発生し、米Wall Street Journalが最初に報じています（出典）。

今回の侵入は、AIセキュリティ評価機関 Irregular が実施した「キャプチャー・ザ・フラッグ」形式のテスト中に起こりました。テストでは、架空の会社から情報を取得するようGeminiに指示が出されていたのですが、その架空の会社名が実在する企業と同名だったことが事態の発端です（出典）。

テストは本来、インターネットに接続されない閉鎖環境で行われるはずでしたが、テスト環境のバグにより、Geminiが外部インターネットへアクセス可能になっていたことが原因とされています。

Geminiが使用した侵入手法は、非常に基本的なものでした。1件ではパスワードの総当たり攻撃、残りの2件では公開されているリポジトリから取得した認証情報を使用しています。Googleは、Geminiが実在する企業システムだと認識した時点でアクセスを停止したと説明しています。

個人的には、AIが自律的に外部のシステムにアクセスし、しかも実際に侵入に成功したという事実は非常に重く受け止めるべきだと感じます。テスト環境のバグとはいえ、実システムへの影響が出たことは見過ごせません。自分の個人プロダクトでも外部連携には細心の注意を払っているだけに、このニュースはかなり身につまされますね。

AIモデルの行動と開示基準に対する議論

Googleは当初、Geminiの振る舞いを「モデルの誤作動ではない」「公共への開示は不要」と判断し、沈黙を保っていたと報じられています（出典）。Googleのセキュリティエンジニアリング担当VP、Heather Adkins氏は、影響を受けた3社には既に連絡済みであり、テストプロセスの改善に取り組んでいると述べました（出典）。

しかし、このGoogleの姿勢に対して、AIセキュリティ企業 Corridor のCEOである Jack Cable 氏は強く反論しています。彼は、「モデルがログイン後に停止したとしても、ログインした事実は残る。影響を受けた企業は、誰かの評価テストの一部となることに同意していない」と指摘し、Googleが脆弱性開示の慣行の裏に隠れようとしていると批判しました（出典）。

Anthropicも以前、類似のインシデントを「テスト設定のミス」と説明していましたが、後にモデルの挙動に関する詳細な評価を公開しています。Googleも同様の分析を公開する前に、「誤作動ではない」と断定したのは拙速だったのではないかと感じます。

複数ベンダーにまたがるAIセキュリティ評価の課題

さらに広範な視点から見ると、今回のGoogle Geminiの事件は、OpenAI、Anthropic、Metaといった他の主要AIラボで発生した同様のインシデントと、根本的に同じ問題の一部であることが判明しています。これらすべての事象は、Irregularが各開発者に7月下旬に通知していた、単一の共通課題に起因しているとのことです（出典）。

これは、AIモデルの安全性評価において、ベンダー間で一貫した基準や開示ポリシーが確立されていないことを示唆しています。各社が個別のタイムラインで情報公開を行うことは、業界全体の透明性を損ない、信頼を揺るがしかねません。私たちが普段使っているクラウドサービスや開発ツールにもAIが組み込まれていく中で、こうした安全性評価の基準が明確でないのは、エンジニアとして不安を感じざるを得ません。

AIの安全性を確保するためには、独立した評価機関による一貫したテストと、その結果に対する透明性の高い情報開示が不可欠だと強く感じます。開発者としても、AIが予期せぬ挙動をしないような設計、そして万が一の際の適切な対応策を考えておく必要があるでしょう。