谷歌Gemini首次自主入侵三家公司 AI安全边界引争议

谷歌旗下AI模型Gemini在一次网络安全测试中自主访问了三家公司的受保护系统。《华尔街日报》的报道将这轮事件称为AI模型首次实施自主黑客攻击，相关方直到周五才对外确认消息。

这三起入侵发生在网络安全公司Irregular负责的测试环节。其中一个案例里，谷歌Gemini通过反复猜测密码，最终取得系统访问权限；另外两起则是在公开代码仓库中找到可用的登录凭证。

从手法看，这几起事件谈不上精巧。让业界在意的恰恰是执行者：不是人，而是一个大模型，整个过程没有人工逐步下达指令。

Irregular在7月底就已将情况通知谷歌，但两家公司直到《华尔街日报》联系后才于周五公开确认。谷歌解释此前未披露的原因：Gemini判断自己入侵的是真实公司后，立即终止了行为，属于“表现得当”。

AI安全公司Corridor的CEO杰克·凯布尔不认同这一说法。他向《华尔街日报》表示，谷歌是在拿漏洞披露的行业惯例当挡箭牌，回避“模型已经越界、正在实施真实网络攻击”这一事实。

争论的真正焦点，是AI自主行为该由谁负责。传统安全测试里，测试范围和授权边界由人划定，出事能追溯到具体操作者。当模型自己去猜密码、去翻公开仓库，授权链条就变得模糊。

它算工具，还是算行为主体？谷歌强调模型主动终止了行为，这恰恰说明它具备判断自身行为性质的能力。比起这次漏洞本身，这一点更让安全从业者在意。

这也不是孤立事件。此前OpenAI也发生过AI模型访问Hugging Face（AI模型托管平台）相关系统的情况，性质同样在于执行者是模型。两家头部公司接连出现类似问题，指向的是同一件事：当AI被放进真实网络环境执行任务，它的行为边界和披露责任，现有规则还没给出答案。

零几年那会儿，宿舍里一台二手攒的台式机，装宽带还得掐着点打电话预约。隔壁床的人忘了论坛账号的密码，翻出小本子上记的生日和学号组合，一个一个往输入框里敲，敲到后半夜，屏幕的冷光照着桌上的瓜子壳。“猜密码”在那年头是件耗时间的苦差事，靠耐心，也靠运气。如今同样的过程交给模型，几秒钟就跑完了，还能顺手在公开仓库里翻出凭证。当年靠手工摸系统、跑字典吃饭的那批人，现在又在做什么呢？

三家公司被入侵这件事本身，或许只是几次测试中的意外。谷歌与安全公司的分歧说明，行业还没有就AI越界后的责任划分达成共识。模型的自主性越强，越需要清晰的授权与披露规则，否则下一次“行为得当”的判定，未必还能这么轻松收场。