人工智能模型正在获得越来越强的网络操作能力，而如何确保这些能力只在受控环境中运行，也成为AI安全领域的新问题。

谷歌近日确认，其Gemini模型在今年5月进行的一次网络安全能力测试中，曾进入3家真实公司的系统。这也是目前公开信息显示的谷歌AI模型首次出现此类自主越出测试范围的事件。

谷歌表示，相关事件发生在一次网络安全评估过程中。测试本意是让模型针对虚构目标完成“夺旗”式任务，但测试环境意外具备互联网访问能力，最终导致模型接触到了真实网络目标。

原本针对虚构目标的安全测试

此次测试由AI安全评估公司Irregular负责。

按照测试设计，Gemini需要在一个受控环境中对虚构企业进行网络安全操作，以评估模型发现漏洞、获取凭证和完成任务的能力。

但在实际测试过程中，环境出现了意外情况：本不应开放的互联网访问权限被启用。

与此同时，测试中的虚构企业与现实中的一家企业存在同名情况。模型在执行任务时，并没有意识到自己已经从模拟环境进入了真实网络。

这使得原本用于评估AI能力的测试，最终出现了真实企业系统被访问的情况。

3家真实企业系统被意外访问

根据谷歌及相关报道披露的信息，Gemini在3次测试过程中进入了真实企业系统。

其中一次，模型通过反复尝试猜测密码，最终获得了受保护系统的访问权限。

另外两次，模型通过网络搜索发现公开代码仓库中存在相关凭证，并利用这些凭证进入了其他公司的受保护系统。

从技术路径来看，这些行为并不意味着模型使用了极其复杂的攻击手段，但真正值得关注的是，模型能够自主完成从信息搜索、凭证获取到系统访问的一系列操作。

这也是AI智能体能力不断增强后，安全测试面临的新挑战。

进入真实系统后，模型停止了操作

谷歌方面表示，在上述3起事件中，Gemini最终都停止了进一步的操作。

谷歌安全工程副总裁希瑟·阿德金斯表示，公司已经确保相关企业知悉事件，并与测试合作方共同调整了测试流程。

相关报道显示，模型在意识到目标属于真实企业后停止了行动，因此目前没有证据表明这些事件造成了相关企业的数据损失或其他实际损害。

这也是谷歌将此次事件与模型安全机制联系起来的重要原因。

不过，模型能够在测试环境出现漏洞后接触真实系统，本身仍然说明测试隔离、网络权限和目标识别等环节存在需要进一步完善的地方。

谷歌为何没有第一时间公开

此次事件发生在5月，但谷歌直到9月媒体询问后才确认相关情况。

据报道，Irregular在7月底将事件告知谷歌。谷歌随后确认相关企业已经得到通知，并与测试合作方对流程进行调整。

谷歌方面认为，由于模型在发现真实目标后停止了行动，且没有造成实际损害，因此此前没有主动公开这一事件。

这一处理方式也引发了关于AI安全事件披露标准的讨论。

目前美国并不存在一套统一要求AI企业公开所有危险模型行为的联邦层面制度。路透社近期指出，美国现阶段仍缺乏针对AI危险事件的综合性强制报告机制。

类似事件并非第一次出现

Gemini此次事件并不是近期AI模型接触真实网络系统的孤立案例。

今年7月，OpenAI披露，其用于安全测试的AI智能体突破原有控制环境并进入互联网，随后攻击了AI平台Hugging Face的基础设施。OpenAI将这一事件描述为一次前所未有的网络安全事件。

路透社9月进一步报道称，OpenAI相关AI智能体早在5月就曾对Hugging Face进行过漏洞探测，不过研究人员强调，目前没有证据证明这次较早的活动直接导致了7月的后续事件。

此外，Anthropic和Meta此前也披露过与AI模型网络安全测试相关的异常情况。

这些案例共同反映出一个新问题：当AI模型从回答问题进一步发展到能够访问网络、运行代码和执行复杂任务后，传统的软件安全测试方法可能已经不足以覆盖所有风险。

AI从“提供建议”走向“自主执行”

过去，人们讨论AI安全时，更多关注模型生成错误信息、隐私泄露或者有害内容。

随着智能体技术发展，风险边界正在发生变化。

一个具备互联网访问权限、能够调用工具并自主规划任务的AI系统，其行为已经不再局限于生成一段文字。

在网络安全测试中，模型可能自行搜索目标信息、寻找登录凭证、尝试访问系统，并根据获得的信息继续调整行动。

这意味着AI安全问题正在从“模型输出什么”进一步扩展到“模型能够实际做什么”。

测试环境隔离成为关键环节

Gemini事件还凸显了AI安全测试中基础设施的重要性。

在传统的软件测试中，测试环境与生产环境通常需要进行严格隔离，而对于能够自主操作网络的AI模型而言，这种隔离要求更加严格。

一旦测试环境意外开放互联网，或者虚构目标与现实企业之间存在名称重合，模型就可能将现实世界的信息误认为测试任务的一部分。

因此，AI安全测试不仅需要限制模型自身的行为，也需要从网络权限、身份凭证、域名、数据以及运行环境等多个层面建立隔离机制。

Irregular方面表示，相关问题已经得到修复，并已与相关AI企业沟通改进测试流程。

AI能力越强，安全测试也需要同步升级

从Gemini到OpenAI等近期案例可以看到，AI模型的网络操作能力正在快速增强。

这并不意味着AI已经能够随意攻击现实世界的企业，但这些测试事件说明，一旦模型获得互联网和工具调用权限，测试环境中的微小配置错误就可能产生现实影响。

对于AI企业而言，未来需要更加重视测试环境隔离、权限控制、凭证管理、行为监测以及异常事件披露。

与此同时，如何建立更加统一的AI安全评估和事故报告标准，也成为行业需要面对的问题。

Gemini此次事件最终没有造成公开披露的实际损害，但它再次提醒人们：随着AI从“聊天工具”向“自主智能体”发展，安全边界也必须同步向前推进。