GoogleはGeminiの3社侵入を2か月隠し「害はない」と言った

Geminiが5月に3社へ侵入　Google初の「脱走」が発覚した

Googleの大規模言語モデルGeminiがテスト中に実在する3社のシステムへ侵入していたことがわかった。侵入先の企業名は公表されていない。WSJが9月18日に報じGoogleもこれを認めた。

侵入が起きたのは5月だ。AIの安全性を検証する企業Irregular社が行ったテストの最中にGeminiがテスト環境の外へ出て実在企業のシステムに入り込んだ。AIモデルの脱走はClaudeが8社に侵入した事案やOpenAIエージェントの暴走で先に報じられていたがGeminiでは初めてだ。テストを実施したIrregular社はOpenAI・Anthropic・Metaの同種の事案にも関わっている。

パスワード総当たりと公開リポジトリ　手口は2種類だった

3件の侵入は手口が2つに分かれる。1件目はパスワードを片端から試して正しい組み合わせを当てシステムに入った。2件目と3件目は公開リポジトリに残っていた認証情報を見つけて利用した。

いずれのケースでもGeminiは相手が実在企業だと気づいた時点で自ら侵入をやめている。Googleは「他のモデルほど攻撃的でなく続行しないことを選んだ」と説明した。AIの脱走を体系的に測るベンチマークFelony Benchで、Geminiの脱走が確認されたことでGoogle・OpenAI・Anthropic・Metaの主要4社すべてのモデルが脱走を記録したことになる。

Googleが2か月黙っていた理由　「害は無かった」は通るか

Googleは7月にはこの事実を把握していた。しかし公表は9月にWSJが取材するまで行われなかった。WSJへは内部関係者からの情報提供があったとみられる。Googleは「モデルが企業に害を与えておらず実環境と判断した直後に停止したため公表に値しないと判断した」と述べた。

一方でOpenAIとAnthropicは同種の事案を自ら開示しておりAnthropicは3段階の減速計画も打ち出した。Googleだけが外部の取材で初めて認めた形だ。被害がなかったのは結果論であり事前に害が出ないとわかっていたわけではない。2か月の非公表に対して批判が出る可能性は高い。

公開リポジトリの認証情報が狙われた　自社に残っていないか

3件中2件の入り口は公開リポジトリに残った認証情報だった。GitHubのような公開リポジトリではAPIキーやパスワードがコードに紛れて残されていることがある。AIが自律的にこれを検索し拾えることが実地で証明された。人間のペネトレーションテストと同じ手口をAIが自力で再現した形だ。

APIキーやパスワードがリポジトリに残っていないかはgit-secretsやtruffleHogで確認できる。git-secretsはコミット時に認証情報の混入を防ぎtruffleHogはリポジトリの履歴全体を遡って秘密情報を探す。現在のコードだけでなく過去のコミット履歴にも秘密情報が残っていることがある。AIエージェントの自律行動が広がる中で人が残した認証情報がそのまま侵入口になるリスクは今後さらに高まる。