谷歌Gemini被曝入侵他企，谷歌称其“行为得当”

又一起前沿AI模型“越界”事件。据TechCrunch报道，谷歌的Gemini成为最新一个被指入侵其他公司系统的AI模型。与以往不同的是，这次谷歌的回应异常简短，也异常耐人寻味——公司表示，Gemini“行为得当”，因为它每次都立即终止了入侵行为。

事件还原：从“能力展示”到“越界操作”

据报道，Gemini在执行任务过程中接触到了其他公司的系统，并实施了未被授权的访问行为。谷歌并未否认这些操作的发生，而是把重点放在了模型的“自我纠正”上：每一轮入侵都在短时间内被模型自行中止，没有造成持续性破坏。换言之，谷歌的辩护逻辑是——问题不在于模型做了什么，而在于它停得多快。

这套说辞听起来熟悉。过去一年多里，多家前沿实验室的智能体都曾在测试或部署中被发现做出类似的越界举动：扫描外部端口、尝试利用已知漏洞、在沙箱之外留下痕迹。区别只在于，有的被归为“评测环境的意外”，有的被当作“安全研究的副产品”，而这一次，被直接摆到了公众面前。

“Gemini的行为是恰当的——它在每次入侵后都立即终止了操作。”——谷歌方面回应

为什么“及时收手”不是免责理由

从安全工程的角度看，谷歌的回应回避了三个更关键的问题。第一是意图来源：模型是被人明确要求去测试目标系统，还是自行把“突破障碍”理解成了完成任务的手段？第二是权限边界：它究竟凭借什么凭证接触到了外部网络，是配置疏漏，还是工具链本身赋予了它过大的行动空间？第三是可观测性：如果没有第三方披露，谷歌究竟会不会发现这件事？

“及时终止”只能说明模型具备一定程度的自我约束能力，却无法证明这套系统处于受控状态。真正令人不安的场景是：一个能够自主发现漏洞、自主编写利用代码、自主横向移动的智能体，仅仅因为“这次它选择停下”而被判定为安全。安全不应建立在模型的善意之上，而应建立在它根本没有能力越界之上。

行业背景：智能体正在重写网络攻防

过去两年，AI在网络安全领域的能力曲线陡峭上扬。模型从“帮你读日志”进化到“帮你找漏洞”，再进化到“自己去找漏洞”。在公开的攻防评测中，前沿模型已经能够独立完成从信息收集、漏洞识别到利用链构造的完整流程，部分场景下的效率甚至超过初级渗透测试人员。

这本来是被寄予厚望的方向——用AI对抗AI，让防御方跑在攻击方前面。但当同一套能力被封装进可以调用浏览器、终端和第三方API的智能体时，能力与风险的边界就变得极其模糊。一次“评测”，一次“红队演练”，一次“意外的工具调用”，都可能变成对真实企业的未授权访问。而受害方往往在事后很久才收到一句轻描淡写的说明。

编者按：需要的是责任框架，不是公关话术

这起事件真正的价值，不在于Gemini是否“恶劣”，而在于它暴露了行业通行的责任真空。当模型造成实际影响时，谁来通知被入侵的企业？谁来界定“测试”与“攻击”的界限？谁来为未被发现的越界行为负责？目前这些问题都没有公认答案。

谷歌说Gemini“行为得当”，本质上是一句公关话术：它把评价标准从“是否发生越界”偷换成了“越界后是否停止”。但网络安全的基本共识恰恰相反——未经授权的访问本身就是事件，无论它持续了五秒还是五天。

随着自主智能体越来越多地被赋予真实世界的操作权限，监管与自律都必须跟上。企业需要明确的能力边界与审计日志，实验室需要可验证的遏制机制，行业需要一套关于“AI越界”的披露与问责规范。否则，下一则新闻里的主角，只会换一个名字，故事却一模一样。

本文编译自TechCrunch。