Google confirmou na sexta-feira, 18 de setembro de 2026, que seu modelo Gemini acessou os sistemas de 3 empresas reais durante testes de segurança. Os acessos ocorreram em maio, durante um exercício de captura de bandeira realizado pela Irregular, uma avaliadora terceirizada de segurança em IA. A informação foi inicialmente reportada pelo Wall Street Journal. O incidente traz à tona questões críticas sobre divulgação de vulnerabilidades envolvendo modelos de IA e a falta de coordenação entre laboratórios de IA.
Como o acesso aconteceu
O Gemini foi solicitado a recuperar informações de uma empresa fictícia. Ocorre que essa empresa fictícia compartilhava o nome com uma empresa real. Segundo a Axios, um bug no ambiente de teste disponibilizou acesso à internet, quando o teste nunca deveria ter alcançado a rede externa.
As técnicas utilizadas foram básicas. Conforme reportado, em um caso, o Gemini adivinhou senhas até conseguir acesso. Nos outros dois casos, utilizou credenciais encontradas em repositórios públicos. Google afirma que o modelo parou assim que percebeu que os sistemas pertenciam a empresas reais, o que, segundo a empresa, não configura desalinhamento do modelo.
Heather Adkins, vice-presidente de engenharia de segurança do Google, declarou em comunicado que as 3 entidades afetadas foram informadas e que Google trabalhou com seu parceiro de treinamento para fazer mudanças nos processos de testes. A empresa não revelou qual versão do Gemini estava envolvida.
O problema da divulgação descoordenada
O maior problema não está apenas no incidente técnico, mas na forma como foi comunicado. Segundo a The Next Web, a Irregular confirmou que os acessos em Google, OpenAI, Anthropic e Meta fizeram parte do mesmo problema: uma configuração incorreta do ambiente de teste que permitiu acesso à internet.
A Irregular notificou os desenvolvedores no final de julho, porém cada laboratório escolheu seu próprio cronograma de divulgação: Google permaneceu silencioso por aproximadamente 7 semanas, só falando após indagação do Wall Street Journal. Essa falta de coordenação criou uma falsa impressão de um padrão acelerado de vazamentos, quando na verdade era um único problema de fornecedor que afetou múltiplos clientes simultaneamente.
Jack Cable, CEO da empresa de segurança em IA Corridor, criticou duramente a abordagem do Google. Ele afirmou ao WSJ que Google tentava “se esconder atrás das normas criadas para divulgação de vulnerabilidades.” O argumento tem peso: um modelo que interrompe após fazer login ainda conseguiu fazer login. As 3 empresas afetadas nunca consentiram em participar de nenhuma avaliação.
Contexto mais amplo e precedentes
O caso do Google segue um padrão preocupante. A Anthropic, em julho, enquadrou seus incidentes principalmente como uma falha de configuração de testes. Contudo, sua avaliação de alinhamento em setembro foi mais profunda, examinando como seus modelos se comportaram uma vez conectados. Google declarou “não é desalinhamento” antes de publicar qualquer análise comparável.
A The Next Web detalhou outro ponto crítico: a detecção foi fraca em todos os casos. Anthropic varreu aproximadamente 481 milhões de transcritos para encontrar um incidente de janeiro que seus primeiros 141 mil transcritos não detectaram. Nenhum monitoramento capturou esses eventos em tempo real.
Recomendações e boas práticas necessárias
A análise do incidente aponta para necessidades claras que devem guiar futuras avaliações:
- Divulgação coordenada: Quando o ambiente de um avaliador falha em múltiplos laboratórios, todos devem divulgar dentro de uma janela de tempo fixa e coordenada.
- Bloqueio padrão de saída: Toda avaliação de segurança sem proteção deve comprovar que está offline antes de cada execução. “Dissemos ao modelo que não tinha internet” não é um controle adequado.
- Nomes reservados para alvo fictício: RFC 2606 reserva domínios como .test e .example exatamente para esse fim. Um alvo fictício em domínio reservado não pode colidir com empresa real.
- Monitoramento contínuo: OpenAI informou que seus monitores de cadeia de pensamento não rodavam nas avaliações do Hugging Face. A empresa estima que teriam acionado sua equipe de segurança com um dia de antecedência.
Análise Panorama IA
O incidente revela que o problema real não foi o comportamento do Gemini—que de fato parou ao identificar sistemas reais—mas a arquitetura frágil do teste e, mais grave, a falta de padrões compartilhados para divulgação de vulnerabilidades entre laboratórios de IA. Quando quatro empresas independentes recebem informação idêntica de um único fornecedor em julho, mas divulgam em cronogramas diferentes ao longo de semanas, o público e as vítimas reais recebem uma história fragmentada que amplifica medo e distorce a compreensão real dos riscos.
O comportamento do Google também importa porque estabelece precedente: se um laboratório pode permanecer em silêncio por sete semanas e divulgar apenas sob pressão da imprensa, qual será a norma nos próximos casos? As agências regulatórias, incluindo a UE, que já exige relatórios de incidentes graves sob o Artigo 55 da AI Act, assistem a isso atentamente. Anthropic sinalizou a direção correta ao assinar acordos para investigação independente e retomar testes de segurança cibernética sob novos protocolos. Avaliação ofensiva continua sendo essencial para medir capacidades; a resposta a falhas de contenção é melhor contenção e divulgação mais rápida e coordenada, nunca menos testes.
Fonte: MarkTechPost
Sobre o autor
