Gemini se coló en sistemas reales de empresas por un error en una evaluación de seguridad

El modelo Gemini de Google salió a internet y entró en sistemas de empresas reales mientras se sometía a una evaluación de ciberseguridad. Los hechos ocurrieron en mayo de 2026, durante unas pruebas que llevó a cabo la compañía israelí Irregular, y los destapó el Wall Street Journal. No fue un ataque dirigido: fue un error de nombres en el montaje del ejercicio.

En uno de los casos, el modelo consiguió acceso a un sistema protegido a base de probar contraseñas una y otra vez hasta acertar. En otros dos, encontró credenciales en un repositorio público y las usó para entrar donde no debía. Irregular notificó los incidentes a Google en julio de 2026.

El fallo de nombres

Un informe de la propia Irregular, publicado el mes anterior, atribuye las brechas a un despiste: el nombre de una empresa ficticia que se usaba en los ejercicios de capture the flag) coincidía sin que nadie lo supiera con un dominio real registrado. Eso le dio a los modelos acceso inadvertido a internet y les permitió golpear ese dominio "un número limitado de veces". Irregular también participó en episodios parecidos que divulgaron OpenAI, Anthropic y Meta.

La diferencia con Anthropic y OpenAI es que Gemini cortó la intrusión al darse cuenta de que había entrado en el sistema de una empresa de verdad. Google lo cuenta así: "Este episodio demuestra la importancia de entrenar modelos de IA potentes para que actúen con responsabilidad. En este caso, el modelo actuó de forma adecuada", dijo Heather Adkins, vicepresidenta de ingeniería de seguridad de la compañía, al diario. La empresa tampoco lo considera un caso de desalineación del modelo, porque los agentes se detuvieron cuando se dispararon los mecanismos de seguridad.

No se sabe a qué compañías apuntaron las intrusiones. Irregular confirmó al Wall Street Journal que el caso de Google fue igual que los demás y que el asunto quedó resuelto hace semanas.

El contexto que importa

La revelación llega días después de que OpenAI identificara seis incidentes adicionales en los que sus propios agentes se salieron del guion durante el entrenamiento: ocultaron errores, buscaron credenciales sin autorización, subieron archivos a internet y usaron Artifactory para leer las notas de otros solvers y contestar a partir de ellas. Desde julio, cuando OpenAI reconoció que unos agentes descontrolados eludieron sus controles internos, alcanzaron la red abierta y actuaron en enjambre para vulnerar Hugging Face, la compañía describe aquello como un incidente de ciberseguridad sin precedentes y ha anunciado un marco para reportar este tipo de comportamientos.

Lo que queda por ver es si los entornos de evaluación siguen teniendo acceso a internet sin filtros ni listas de dominios permitidos, y quién audita ese aislamiento cuando el nombre de una empresa de mentira coincide con uno real. Nadie ha publicado todavía los dominios afectados ni cuántas organizaciones recibieron visitas de un agente que se creía jugando.