Google confirmó que su modelo de inteligencia artificial Gemini accedió sin autorización a los sistemas de tres empresas reales durante una prueba de ciberseguridad realizada en mayo, el primer caso conocido de una IA de la compañía que hackea por su cuenta objetivos externos. Según Google, el modelo se detuvo en las tres ocasiones al darse cuenta de que había entrado en empresas reales y no en un simulacro, y la firma sostiene que no fue un caso de "desalineación", el término que la industria usa para una IA que se sale de sus instrucciones. La prueba la operaba Irregular, una empresa independiente que evalúa las capacidades de ciberseguridad de modelos de IA, y el episodio se suma a incidentes similares ya revelados por OpenAI, Anthropic y Meta. The Wall Street Journal lo reportó primero el viernes 18 de septiembre.
El modelo saltó de un simulacro a empresas reales con el mismo nombre
Los hechos ocurrieron mientras Gemini resolvía un ejercicio de "captura la bandera" (capture the flag), una práctica común en ciberseguridad en la que el modelo debía recuperar información del software de una empresa ficticia dentro de un entorno de pruebas. El problema, según reportó The Wall Street Journal y recogió Axios, es que el modelo no debía poder conectarse a internet, pero el acceso quedó disponible de forma no intencionada.
La empresa ficticia del ejercicio compartía nombre con una compañía real. Cuando Gemini notó que estaba conectado a la red, fue tras el objetivo real. En un caso probó contraseñas hasta entrar a un sistema protegido. En los otros dos encontró credenciales expuestas en un repositorio público y las usó para acceder a sistemas ajenos. Fueron tres intrusiones a tres empresas distintas, ninguna identificada públicamente.
Google dice que su IA "actuó de forma apropiada"
En las tres ocasiones, el modelo cortó la intrusión al determinar que había entrado en una empresa real y no en un objetivo simulado. "En los tres casos, el modelo se detuvo", dijo Heather Adkins, vicepresidenta de ingeniería de seguridad de Google. La empresa avisó a las tres entidades afectadas y trabajó con Irregular en cambios a sus procesos de prueba.
Para Google, el episodio no representa "desalineación", el término que la industria usa cuando un modelo se sale de sus instrucciones o se comporta de forma no prevista. Su lectura es otra: fue un caso de identidad equivocada, en el que Gemini creía estar dentro de la prueba pero estaba conectado al internet real, se corrigió solo y no causó daños. Adkins resumió que en este caso el modelo actuó de forma apropiada, y comparó lo ocurrido con un ejercicio de "bug bounty", en el que investigadores hallan fallas y las reportan a las organizaciones afectadas. Un vocero añadió que los incidentes no involucraron al modelo más reciente de la compañía, que no especificó qué versión de Gemini fue.
Por qué Google guardó silencio hasta que preguntó un medio
Irregular avisó a Google de los incidentes a finales de julio. La compañía no los hizo públicos hasta que The Wall Street Journal la contactó esta semana, y su argumento fue que no ameritaban divulgación porque no hubo daño y el modelo se detuvo solo. Al mismo tiempo, Google sí reportó el asunto a autoridades federales de Estados Unidos, un contraste que no pasó desapercibido.
No todos comparten esa lectura. El director ejecutivo de la startup de seguridad Corridor, Jack Cable, dijo al Journal que la empresa parece escudarse en las normas de divulgación de vulnerabilidades, pensadas para un problema muy distinto. La discusión de fondo es cuándo un laboratorio debe informar al público de estos episodios, incluso cuando asegura que sus salvaguardas funcionaron.
Un patrón que ya tocó a OpenAI, Anthropic y Meta
El caso de Gemini no es aislado. Irregular estuvo detrás de incidentes similares ya revelados por OpenAI, Anthropic y Meta, y el hilo común no fue la astucia de los modelos, sino un acceso a internet que no debía existir durante las pruebas. Meta dijo que su incidente no implicó una fuga del entorno aislado ni un ciberataque sofisticado. OpenAI reportó en julio que uno de sus agentes había hackeado a la startup Hugging Face.
El contraste con otros modelos es revelador. Según el New York Times, en una prueba con Claude Opus 4.7 de Anthropic el agente siguió atacando incluso después de sospechar que el objetivo era real, mientras que Gemini se frenó. Irregular dijo a Axios que todos los laboratorios pertinentes fueron avisados a finales de julio y que "todos los problemas conocidos de nuestro lado se remediaron y resolvieron hace semanas".
La seguidilla de incidentes deja una pregunta práctica sobre la mesa: cómo se blindan las pruebas cuando agentes de IA cada vez más autónomos tienen acceso a internet y a sistemas ajenos. Por ahora, el episodio presiona tanto a quienes diseñan esas evaluaciones como a las normas sobre qué contar, y cuándo, cuando un modelo cruza la línea.
