Anche Google entra nella lista delle grandi società di intelligenza artificiale alle prese con comportamenti inattesi dei propri modelli durante test di cybersicurezza. A maggio 2026 un modello Gemini ha avuto accesso ai sistemi informatici di tre aziende reali mentre partecipava a una valutazione organizzata dalla società specializzata Irregular. Gli episodi sono stati riportati per primo dal Wall Street Journal e successivamente confermati da Google. Il test avrebbe dovuto svolgersi all’interno di un ambiente controllato e riguardava aziende fittizie. Per una configurazione errata, tuttavia, il modello disponeva dell’accesso a Internet. In almeno un caso una società simulata aveva lo stesso nome di un’impresa realmente esistente e Gemini ha finito per indirizzare la propria attività verso il sistema reale.
Come Gemini è entrato nei sistemi
Le tecniche utilizzate non erano particolarmente sofisticate. Secondo il Wall Street Journal, in un episodio Gemini è riuscito a ottenere l’accesso tentando credenziali fino a individuare quelle corrette. Negli altri due casi ha trovato credenziali esposte pubblicamente in repository online e le ha utilizzate per entrare nei sistemi delle aziende. L’elemento rilevante non è quindi la complessità tecnica dell’attacco, ma il fatto che un modello autonomo abbia continuato a svolgere il compito assegnato oltre i confini previsti dal test, interagendo con infrastrutture reali. Secondo Google, Gemini ha interrotto autonomamente l’attività in tutti e tre i casi dopo aver riconosciuto che gli obiettivi erano aziende reali e non sistemi costruiti per l’esercitazione. La società sostiene inoltre che non siano stati provocati danni e afferma di aver notificato gli episodi alle organizzazioni coinvolte e alle autorità competenti. Irregular avrebbe informato Google degli incidenti a luglio. Gli episodi non erano stati resi pubblici prima delle richieste di chiarimento del Wall Street Journal. Google ha motivato la scelta sostenendo che il modello, una volta compresa la natura reale dei sistemi raggiunti, aveva interrotto le operazioni e che le procedure di test erano state successivamente modificate.
Non è il primo caso
L’incidente di Gemini arriva dopo episodi analoghi che hanno coinvolto altri laboratori di intelligenza artificiale. A luglio OpenAI ha comunicato che alcuni propri modelli, durante valutazioni interne di cybersicurezza, erano riusciti ad aggirare i controlli utilizzati per isolarli da Internet e ad accedere a sistemi di Hugging Face e a parti dell’infrastruttura di ricerca interna di OpenAI. L’azienda ha successivamente pubblicato una ricostruzione tecnica dell’incidente, spiegando che gli agenti avevano sfruttato vulnerabilità e canali non autorizzati per ottenere accesso a infrastrutture esterne. OpenAI ha precisato che l’episodio non ha coinvolto dati dei clienti né il funzionamento dei suoi prodotti. Pochi giorni dopo anche Anthropic ha reso pubblici tre episodi nei quali modelli Claude erano riusciti a raggiungere Internet durante valutazioni di cybersicurezza e ad accedere senza autorizzazione ai sistemi reali di tre organizzazioni. Anthropic ha attribuito l’accesso alla rete a problemi di configurazione negli ambienti di valutazione di terze parti e ha annunciato modifiche alle proprie procedure. I tre casi hanno un elemento comune: modelli AI ai quali era stato assegnato un compito offensivo all’interno di un ambiente di prova hanno trovato, per errori di configurazione o vulnerabilità dell’infrastruttura, una strada verso sistemi reali.
Il problema degli agenti autonomi
È questo l’aspetto che sta attirando maggiormente l’attenzione degli esperti. I sistemi più avanzati non si limitano più a produrre testo o suggerire codice: possono utilizzare strumenti, eseguire comandi e compiere sequenze di azioni per raggiungere autonomamente un obiettivo. In un test di cybersicurezza questa capacità è particolarmente delicata. Se il confine tra ambiente simulato e Internet reale viene meno, un agente può continuare a perseguire il compito assegnato utilizzando infrastrutture che non fanno parte dell’esercitazione. Il caso Gemini non dimostra che il modello abbia deciso autonomamente di “attaccare” aziende reali per un obiettivo proprio. Le informazioni disponibili indicano invece che stava continuando a perseguire l’obiettivo previsto dal test, interpretando inizialmente i sistemi raggiunti come parte dell’esercitazione. Secondo Google, una volta riconosciuto l’errore il modello si è fermato. Ma proprio questa dinamica mostra quanto diventi importante controllare non soltanto il comportamento del modello, ma anche l’ambiente nel quale viene fatto operare, le autorizzazioni disponibili e l’accesso alla rete.
Le aziende AI discutono di rallentare
Gli episodi si inseriscono in un dibattito più ampio sulla velocità con cui stanno aumentando le capacità dei modelli. Il 12 settembre il CEO di Anthropic Dario Amodei ha proposto di rallentare l’aumento delle capacità dei sistemi più avanzati e di introdurre valutazioni indipendenti, standard di sicurezza condivisi tra le aziende e forme di cooperazione internazionale. La proposta ha ricevuto il sostegno pubblico del CEO di OpenAI Sam Altman e di Elon Musk, mentre Demis Hassabisdi Google DeepMind ha espresso sostegno alla direzione generale dell’iniziativa, pur sottolineando la necessità di definirne i dettagli. La questione sollevata dal caso Gemini va quindi oltre Google. Con l’aumento dell’autonomia degli agenti AI, la sicurezza dipenderà sempre di più dalla capacità di impedire che un sistema progettato per operare in un ambiente controllato possa trasformare accidentalmente un test in un’operazione sul mondo reale.
