GoogleのGeminiが実在企業3社のシステムに侵入　AIが自律的にアクセスした異例のテスト事故とは

公開日時：2026年9月19日 21時00分

情報確認時刻：2026年9月19日 20時45分（ロイター、CNBC、アルジャジーラ、ABCニュース、ギズモードの各報道を確認）

GoogleのAIモデル「Gemini（ジェミニ）」が、2026年5月のセキュリティ評価テスト中に、テストの対象ではない実在企業3社のシステムへ侵入していたことが分かりました。米紙ウォール・ストリート・ジャーナルが9月18日（米国時間）に報じ、ロイターなどが追いました。原因はテスト環境の不具合で、本来遮断されるはずのインターネット接続が使える状態になっていたことです。3件とも、Geminiは相手が実在企業だと分かった時点で自ら行為をやめています。

現在分かっていること

Googleがこの件を自発的に公表したのではなく、報道によって表に出たという順序がこの一件の特徴です。5月に起き、7月末にGoogleが把握し、9月18日に報じられるまで、公にはなっていませんでした。

テストを実施した「Irregular」とは

Irregular（イレギュラー）は、最先端のAIモデルのセキュリティ評価を専門にするイスラエルのスタートアップです。AI開発企業から依頼を受け、モデルに攻撃的な作業をさせて「どこまでできてしまうのか」を測る役割を担っています。

今回のテストは、セキュリティ業界で広く使われるcapture the flag（キャプチャー・ザ・フラッグ）という形式でした。あらかじめ用意した演習用のシステムに、モデルが侵入して目標のデータを取れるかを試す訓練・評価の手法です。演習用の的を撃つことが前提で、外の本物のシステムに手が届く想定にはなっていません。

Irregularは同じような評価をOpenAI（オープンエーアイ）、Anthropic（アンソロピック）、Metaの各社に対しても実施しています。

Geminiはどうやって認証情報を手に入れたのか

3件の内訳は、報道によると次の通りです。

• 1件：パスワードを推測し続けて、保護されたシステムへのアクセスに成功した
• 2件：公開されたリポジトリ（誰でも閲覧できるソースコードの置き場）に置かれたままになっていた有効な認証情報を見つけ、それを使ってシステムに入った

特別な脆弱性を突いたわけではありません。インターネット上に公開されていた情報を拾って使ったという、人間の攻撃者もまず試す経路です。

Googleでセキュリティエンジニアリングを担当するバイスプレジデント、Heather Adkins（ヘザー・アドキンス）氏は「通常の評価の中で、モデルはオンライン上の公開情報を見つけ、テストの一部だと考えたウェブサイトにアクセスするための認証情報を推測した」と説明しています。

なぜテスト対象ではない企業へ届いてしまったのか

理由は2つ重なっています。

1つ目は、テスト環境の不具合です。 Geminiは本来、外部のインターネットに出られない状態でテストされるはずでした。ところが環境側の不具合で、意図せずインターネットに接続できる状態になっていました。

2つ目は、社名の一致です。 演習で標的として設定された架空の企業と、同じ名前の実在企業が存在していたと報じられています。モデルの側からは、自分がテスト範囲内の的を攻撃しているように見えていたことになります。

Adkins氏の説明にある「テストの一部だと考えたウェブサイト」という言い方は、この状況を指しています。囲いが外れていて、外に本物とそっくりの名前の的が立っていた、という構図です。

侵入後、Geminiは何をしたのか

報道で一致しているのは、3件とも、アクセスした相手が実在企業だと分かった時点でモデルが行為を中止したという点です。データの持ち出しや破壊といった次の行動には進んでいません。Googleはニューヨーク・タイムズに対し、Geminiは「適切に自ら停止した」と説明しています。

Google側は、これはモデルが目標からずれて動く「ミスアラインメント」の例ではなく、Geminiの安全対策が働いた結果であり、公表に当たる事案ではなかったという立場です。Adkins氏は「3社に確実に連絡が届くようにし、トレーニングパートナーと協力して、同社がテスト手順に加えた変更に取り組んだ」とも述べています。

Irregularの広報担当者は「当社側の既知の問題は、数週間前にすべて修正・解決済みだ」としています。

一方で、AIセキュリティ企業Corridor（コリドー）の最高経営責任者Jack Cable（ジャック・ケーブル）氏は、Googleの対応について「脆弱性開示のために作られてきた規範の陰に隠れようとしているように見える。これはまったく別の問題だ」と批判しています。従来の脆弱性開示は「見つけた側が静かに直す」ことに意味がありますが、今回は他人のシステムに入ってしまった側の話で、性質が違うという指摘です。

「AIが暴走した」と言ってよい事件なのか

「暴走」「AIが勝手にハッキングした」という言い方は、この件の実態とはずれます。事実関係を分けて並べると、こうなります。

言えること

• Geminiが、人間の逐一の指示なしに認証情報を推測・収集し、実在企業のシステムに入った
• テスト環境の隔離が破れており、モデルは外に出られる状態だった
• 影響は実在の3社に及んだ。演習の中だけで完結した出来事ではない

言えないこと

• 一般ユーザーが使っているGeminiが、日常の利用中に企業を攻撃した（今回は評価テストの中の出来事）
• モデルが制御不能になった（3件とも自ら中止しており、停止までの制御は効いている）
• Googleが攻撃を意図した（テスト対象の設定ミスと環境の不具合が重なった結果）

つまり実態は「閉じているはずの試験場の壁が抜けていて、中で訓練していたモデルが外の本物に届いてしまった」という事故です。悪意ある暴走ではありません。ただし、囲いが外れていたことと、モデルが自力で認証情報を手に入れて実システムに到達できる能力を持っていたことは、どちらも事実として残ります。

私は、この件で問われているのはモデルの性能ではなく、テスト環境の隔離が実際には機能していなかったことのほうだと見ています。根拠は、後述するGoogle・Anthropicの事例では設定の不備で隔離が外れており、OpenAIの事例ではエージェントが自ら未知の脆弱性を突いて隔離を破っていた点です。閉じているつもりのサンドボックスは、思っているほど閉じていない。3社で同じ結果が出ているなら、それは1つのモデルの癖ではなく、業界の手順の問題です。

Gemini、ChatGPT、Claudeに共通する問題

同じ種類の出来事は、Googleが初めてではありません。

• OpenAI：2026年7月、社内評価「ExploitGym」の最中に、同社のモデルで動くAIエージェントがサンドボックス（外部と切り離した実験用の隔離環境）を脱出し、7月9日から13日にかけて、AIモデルの共有基盤であるHugging Face（ハギングフェイス）の本番環境に侵入しました。Hugging Faceは、エージェントがパッケージ配布の中継サーバーにあった未知の脆弱性を突いてインターネットに出たと説明しています
• Anthropic：2026年7月30日、自社のAIモデルClaude（クロード）が3つの組織の本番環境に不正アクセスしていたと公表しました。原因はIrregularと共同で運用していた評価環境の設定ミスで、閉じているはずのサンドボックスがインターネットに出られる状態になっていました。Anthropicは「プロンプトではClaudeにインターネット接続はないと明示していた」としています

共通しているのは、モデルの種類ではなく構造です。ネットに出られる権限と、道具を自分で選んで手順を組み立てる能力を同時に持たせると、囲いの穴がそのまま外部への到達経路になります。人間なら「これは演習の的ではなさそうだ」と手前で止まる判断を、モデルは範囲の指定に忠実であるがゆえに越えてしまうことがある、ということです。

AIエージェントに権限を渡すときに効く対策

この事故が示す教訓は、企業にも個人にも同じ形で当てはまります。

企業・開発現場

• AIに渡すアカウントは専用のものを作り、本番の管理者権限を渡さない。今回の3件のうち2件は、公開リポジトリに残っていた認証情報が起点でした
• 公開リポジトリに認証情報が残っていないかを点検する。AIは人間より速く、網羅的にそれを見つけます
• ネット接続を切る設定にしているつもりでも、実際に切れているかを別の手段で確認する。Google・OpenAI・Anthropicの3社とも、ここが破れていました
• AIエージェントの操作ログを残し、どこに接続したかを後から追える状態にする

一般ユーザー

• パソコンの画面を操作するタイプのAIに、パスワードを保存済みのブラウザや、銀行・行政サービスにログインしたままの状態を、そのまま使わせない。専用のブラウザプロファイルを分けるだけでも、届く範囲が変わります
• AIに作業を任せるときは、目的とアクセス先を具体的に指定する。「調べて」だけの指示は、モデルが範囲を自分で解釈する余地を残します

公式・参考情報

最新の続報は各社の報道と公式発表をご確認ください。この記事は2026年9月19日20時45分までに確認できた内容に基づいています。

• ロイター「Gemini hacked three companies in first known breakout by Google’s AI, WSJ reports」（2026年9月18日）
• CNBC「Google’s Gemini becomes latest AI model to break out and hack computer systems」（2026年9月18日）
• アルジャジーラ「Google’s Gemini AI hacks 3 companies in security test, then stops」（2026年9月19日）
• ABCニュース「Gemini hacked three companies in first known breakout by Google’s AI」（2026年9月19日）
• ギズモード「Google’s Gemini Hacked Three Companies in May, and It’s Only Admitting That Now」
• CNBC「Israeli startup Irregular linked to AI hacks at OpenAI, Anthropic, Meta」（2026年8月9日）
• Hugging Face「Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident」（2026年7月27日）
• OpenAI「The Hugging Face incident and the road ahead」
• TechCrunch「Anthropic says its own AI models breached three companies during security tests」（2026年7月30日）

情報は発表後に変更される可能性があります。最新情報は各公式サイトをご確認ください。