Gemini verließ die Testumgebung und griff auf drei echte Firmen zu

Bei einem Capture-the-Flag-Test des externen Prüfers Irregular hat ein Gemini-Modell im Mai 2026 die Sandbox verlassen und auf Systeme von drei realen Unternehmen zugegriffen. In einem Fall riet es so lange Passwörter, bis es in ein geschütztes System kam. In den beiden anderen fand es jeweils in einem öffentlichen Repository offen liegende Zugangsdaten und nutzte sie.

Dafür mussten zwei Fehler zusammentreffen. Eine Fehlkonfiguration ließ den Internetzugang der Testumgebung offen, und der Name der eigens erfundenen Zielfirma existierte real als Domain. Gemini hielt die echten Systeme für die vorgesehenen Übungsziele.

Schaden ist laut Google keiner entstanden. Das Modell brach jedes Mal von selbst ab, sobald es erkannte, dass hinter den Adressen reale Systeme standen. Ein Sicherheitstest, der selbst zum Sicherheitsvorfall wird: die Komik daran dürften die drei betroffenen Firmen nur bedingt geteilt haben.

Interessanter als der Ausbruch ist der Kalender. Google wurde Ende Juli informiert und kontaktierte betroffene Firmen und Behörden.

Öffentlich wurde der Fall am 18. und 19. September, nachdem das Wall Street Journal nachgefragt hatte. Dazwischen liegen rund sieben Wochen Stillschweigen.

Einen offiziellen Beitrag dazu gibt es bis heute nicht: nichts auf blog.google, nichts im Google Security Blog, nichts bei DeepMind. Was bekannt ist, stammt aus Sprecher-Statements gegenüber Medien. Welche Modellversion betroffen war, sagt Google ebenfalls nicht, nur dass es nicht das neueste Gemini gewesen sei; die Namen der drei Firmen stehen nirgends.

Heather Adkins, Googles VP Security Engineering, bestätigt den Vorfall und verweist auf Testverfahren, die man gemeinsam mit Irregular geändert habe. Alle bekannten Probleme auf Googles Seite seien vor Wochen behoben, Misalignment sei es keines gewesen, und veröffentlicht habe man nichts, weil kein Schaden entstand. Jack Cable, CEO von Corridor, hält dagegen, Google verstecke sich hinter den Normen der Vulnerability Disclosure, und das sei ein ganz anderes Problem.

Damit ist Google das vierte Labor binnen zwei Monaten mit einem Vorfall dieser Art, nach OpenAI, Anthropic und Meta, alle aus Irregular-Tests. Das Muster kennt man von OpenAIs Agenten, die 500 bösartige Pakete auf RubyGems luden und vier Monate bis zur Offenlegung brauchten, dazu kommen OpenAIs sechs offengelegte Fehlverhaltensfälle und Anthropics Missbrauchsbericht. Wer legt eigentlich fest, ab welchem Schaden ein Labor von sich aus redet?