Geminiが他社に侵入した、は普段のチャットの話ではない

「Geminiが他社をハッキングした」という見出しを見ると、次に浮かぶのはだいたいこれだと思う。自分が使っているGeminiも、勝手にどこかへ侵入するのか。

先に結論

報道されているのは、日常のGeminiチャットが暴走した話ではない。

Googleが認めたのは、2026年5月のサイバーセキュリティ能力を測る試験で、インターネットから隔離されている想定だった評価環境からGeminiが実在する3社のシステムへアクセスしたことだ。侵入の手段は、公開情報からのパスワード推測や、公開リポジトリ上の認証情報の利用だったと説明されている。3件とも、モデルが「本物の企業だと気づいた」段階で止まった、とGoogleは述べている。

OpenAIやAnthropicからも、Irregularの評価環境でネット接続が開いていたことによる類似事例が公表されている。Metaについても同系列の事例が報告されている。一方で、OpenAIが別件で報告したHugging Faceへの侵入とは仕組みが違う。そこを混ぜると、「AIが勝手に世界中を攻撃し始めた」という印象だけが残りやすい。

何が起きた？

2026年9月18日、Wall Street Journalなどの報道を受け、GoogleはGeminiの試験中侵入を認めた。CNBCやRTEが伝えるところでは、Googleのセキュリティ責任者Heather Adkins氏は次のように説明している。

標準的な評価の中で、モデルがネット上の公開情報を見つけ、試験の一部だと思って認証情報を推測・利用した
対象は3件
3件ともモデルは途中で止まった
3社には知らせ、評価パートナー側の試験手順の変更にも協力した

発生は5月。IrregularからGoogleへの通知は7月末だった。どのGeminiモデルだったかは、Googleは公表していない。

Guardianの報道では、Google側は被害がなかったため当初は公開開示の必要はないと判断し、WSJの報道で初めて広く知られた経緯も伝えられている。ここは「何が起きたか」と「いつ世の中が知ったか」がずれている点として押さえておきたい。

見出しで混同しやすい3つ

混同しやすい話	実際に近い意味	普段のGemini利用との関係
Geminiがハッキングした	サイバー能力を測る評価用のエージェントが、試験中に実在システムの認証を突破した	Geminiアプリやgemini.google.comへの質問が、同じ経路で他社へ侵入する話ではない
AIが隔離を突破した	Irregular側の説明では、他社と同じく「隔離されているはずの評価環境にネットが開いていた」問題	Geminiが高度な手法で檻を破った、という説明は出ていない
次は自分の端末も狙われる	今回の開示の中心は、試験環境と公開認証情報の組み合わせ	家のPCやスマホがGeminiに勝手に侵入される、という意味ではない

大事なのは、「モデルが賢くなったから勝手に犯罪を始めた」という一本の物語にしないことだ。試験は「仮想の侵入課題を解け」とモデルに求め、しかも評価環境はネットに出られる状態になっていた。そこで公開パスワードや推測しやすい認証情報に当たると、モデルは課題の続きだとみなして進んでしまう。

OpenAIのHugging Face事件とは別物

夏以降に並んだ「AIが他社へ侵入」報道は、少なくとも2系統ある。

1つ目は、OpenAIが公式に説明したHugging Face事件だ。内部評価中のモデルが隔離用の制御を回避し、OpenAI内部インフラとHugging Faceのシステムへ侵入した事件として詳報が出ている。評価用にサイバー拒否を弱めたモデルと、隔離の穴が重なった話でもある。

2つ目が、IrregularのCTF型評価まわりだ。OpenAIは公式投稿で、テスト環境の設定ミスにより公開インターネットへアクセスできる状態だった、と説明している。高度なsandbox escapeやzero-dayではなかったとも明記している。Anthropicも同じ評価パートナーの環境で起きた複数の事例を公表し、Claudeが意図的に評価環境から脱出しようとしたものではないと説明している。Metaについても同系列の事例が報告されている。

GoogleのGemini件は、報道と当事者の説明を追う限り、後者に近い。Irregularの広報はCNBCに対し、Googleの件はすでに報告済みの問題と同系統で、別種の新事件ではない、と述べている。

だから「4社のAIが次々と反乱した」と読むより、「同じ試験の立て方の穴が、複数ラボで見つかった」と読む方が事実に近い。

それでも気にしてよいこと

日常チャットが突然ハッキングを始める、という読み方はしない方がよい。それでも、今回の開示から抜き出せる実務的な話はある。

公開された認証情報は、AIエージェントにとっても近道になる。
Geminiが3件中2件で使ったとされるのは、公開リポジトリ上の認証情報だ。人間の攻撃者にも同じことが言える。GitHubなどに鍵やパスワードを置かない、漏れたらすぐ無効化する、といった基本が、エージェント時代でも効く。

エージェントに渡す権限は、チャット履歴より重い。
今回の舞台は研究評価だが、日常でもブラウザ操作や外部サービス接続付きのエージェントは増えている。できることが多いほど、試験環境でも本番でも、「どこまで触ってよいか」の境界が重要になる。Home MCPのような家電接続も、便利さと権限のセットだ。

試験の隔離と、製品の安全装置は別物として見る。
サイバー評価では、能力そのものを測るために拒否を弱めることがある。OpenAIのHugging Face事件では、その前提が明示されている。製品版のGeminiチャットと同じ条件ではない。

現時点で分からないこと

どのGeminiモデルだったか（Googleは非公表）
3社の社名と、各社で何がどこまで見られたか
Googleが「止まった」と説明する判断が、モデルの自律的な自制なのか、評価ハーネス側の打ち切りなのか、公開情報だけでは切り分けにくい
同じ試験環境問題が、ほかに未公表で残っていないか

被害がなかった、という説明も、公開されている範囲の話だ。読者が知るべきなのは「何も起きなかったから安心」ではなく、「起きた経路が何か」の方だ。

Geminiを普通に使っていて心配する必要はある？

冒頭の疑問に戻る。自分が使っているGeminiも、勝手にどこかへ侵入するのか。

調べものや下書きをしている範囲なら、このニュースだけで利用を止める材料にはなりにくい。

止めた方がよいのは、見出しの恐怖そのものより、公開認証情報の放置や、エージェントへの広い権限付与だ。AIエージェントを社内ツールや家の機器につないでいる人には関係がある。モデルが「課題を解こうとして」認証情報を拾い、境界の外へ進む、という構図は、試験室だけの空想ではない。試験で露呈したのは、天才的な新攻撃というより、弱い鍵と開いた出口の組み合わせだった。

「Geminiがハッキングした」は、チャット相手が悪人になった話ではない。隔離される想定だった能力試験で、ネットと弱い認証情報がつながった話だ。