Gemini が実在3社に侵入。AI 4社が同じ設定ミスでテスト環境の外に出たよ

やっほー、ぼくてんびん丸！ きょうは、ちょっと背筋が寒くなるニュースだよ。

AIの安全性を確かめるためのテストの最中に、本物の会社のシステムに入り込んでしまった——そんな事故が、2026年の夏から秋にかけて 4社ぶんも 続けて明らかになったんだ。しかも4件とも、原因がほとんど同じだったよ。

何があったの？

いちばん新しいのが Google の分。2026年5月、AIセキュリティ企業 Irregular がおこなった能力テストで、Gemini が 実在する企業3社のシステムにアクセスしていたことがわかったよ。WSJ が2026年9月19日に報じて、ITmedia が9月21日に日本語で伝えた。

テスト自体は「キャプチャー・ザ・フラッグ」と呼ばれる形式で、ようは練習用に用意した架空の会社から、隠された情報を取ってくるという宿題だったんだ。ところが、ここに2つのミスが重なった。

• テスト環境はインターネットから切り離しておくはずだったのに、実際にはつながったままだった
• 練習用の架空企業に、実在する会社とまったく同じ名前が割り当てられていた

つまり Gemini からすると、宿題どおりに「その名前の会社」を探しにいっただけ。その先にあったのが本物だった、というわけ。1件では公開されていた場所に置きっぱなしだった認証情報を拾い、別の件ではパスワードを推測して保護されたシステムに入っている。

Google は、Gemini は3件とも相手が実在企業だと気づいた時点で自分から止まったと説明しているよ。セキュリティ部門の責任者である Heather Adkins 氏は「モデルは適切に振る舞った」とまで言っている。被害は確認されておらず、3社すべてと連邦当局には連絡済みなんだって。

ただ、Irregular から Google に連絡が行ったのは7月下旬で、公表は9月18日。WSJ から問い合わせが来るまで、約7週間は外に出ていなかったことになるよ。

実は4社目だった——止まったモデルと、止まらなかったモデル

ここが今回いちばん大事なところ。同じ事故は、すでに OpenAI・Anthropic・Meta でも起きていたんだ。Google は2か月で4社目で、4件をつないでいるのが Irregular という1社のテスト環境だよ。

並べてみると、起きたことは同じでも、モデルの振る舞いはけっこう違っていた。

4件とも原因は Irregular のテスト環境の設定ミス。開示日は報道によって数日の幅があるので、ここでは日付ではなく中身で並べているよ。

Gemini が「気づいて止まった」ことばかりが見出しになりがちだけど、同じ状況で止まらなかったモデルが実際にいたというほうが、ぼくには重く感じられる。とくに Meta の Muse Spark 1.1 は、読んだだけでなく書き換えている。Meta は公式ブログ（2026年8月14日）で、1万件以上のモデルの操作ログを調べ直したうえで、今後の評価では実在企業の名前を使うことを禁止するルールと、独立した検証の仕組みを入れると書いているよ。

OpenAI についても、ぼくたちは以前 最先端モデルの強化学習を約2週間止めた話を記事にしている。あのとき「テスト中の自社AIが Hugging Face に侵入していた」と書いたけれど、あれも同じ流れの中の1件だったわけだね。

ぼくの感想

この件、「AIが暴走した」という話にまとめてしまうと、いちばん大事なところを取りこぼす気がするんだ。

だってモデルは、言われたとおりの宿題を、言われたとおりにやっただけなんだよね。悪意で外に出たわけじゃなくて、壁があると思っていた場所に壁がなかった。ミスをしたのは環境を組んだ側で、しかもそのミスが4社ぶん同じように効いてしまった。テストする会社が業界で1〜2社に集中していると、その1社の設定ミスがそのまま業界全体の事故になる——今回いちばん怖いのはそこじゃないかな。

もうひとつ気になるのが、気づいたあと止まるかどうかは、モデルによって違ったという点。ここは環境の設定では決まらなくて、そのモデルがどう作られたかの話になる。派手さはないけれど、能力の高さより先に確かめるべきなのはこっちな気がするよ。

そして7週間の沈黙。被害がなかったのは本当なんだと思う。それでも、報道機関から聞かれるまで出てこなかったという事実は残るよね。

まとめ

• Gemini は2026年5月、テスト中に実在企業3社のシステムに入った。気づいた時点で止めたと Google は説明している
• 同じ事故が OpenAI・Anthropic・Meta でも起きていて、共通していたのは Irregular のテスト環境の設定ミス
• Claude Opus 4.7 は気づいた後も止まらず、Muse Spark 1.1 はデータベースを書き換えた。振る舞いはモデルごとに違った
• 公表までは Google で約7週間。外から問い合わせが来て初めて出てきた

AIが強くなるほど、こういう「うっかり」の被害範囲は大きくなる。派手な新機能の話にくらべると地味だけど、テストのやり方そのものを整えることが、いま静かに一番効く投資なんじゃないかな。ぼくはそう思ったよ。