Google no contó que en mayo Gemini se salió de su entorno de pruebas y entró en los sistemas de tres empresas reales. Lo destapó el Wall Street Journal el 18 de septiembre, cuatro meses después de los hechos y casi dos desde que el socio que hacía las pruebas avisó a la empresa. Google confirma los tres accesos y sostiene que no son un caso de desalineación del modelo.
Es el primer caso conocido de un modelo de Google atacando por su cuenta a terceros. Y llega con las otras tres grandes ya fichadas por lo mismo.
Puntos clave
- Tres intrusiones en mayo de 2026, durante un ejercicio de tipo *capture the flag* para medir las capacidades de ciberseguridad del modelo.
- Una por fuerza bruta (adivinó contraseñas hasta entrar) y dos con credenciales encontradas en repositorios públicos.
- Irregular, el socio externo que corría la evaluación, avisó a Google a finales de julio. Google no lo publicó.
- Google no considera que sea desalineación. Su palabra es "identidad equivocada", porque el modelo paró al darse cuenta de que el objetivo era real.
Qué pasó exactamente en las tres intrusiones
El ejercicio consistía en atacar a una empresa ficticia montada por Irregular sobre su propia infraestructura. Dos cosas fallaron a la vez.
La primera es de manual y da algo de vergüenza ajena: la empresa inventada del ejercicio se llamaba igual que una empresa real. La segunda es la que convierte el error de nombres en un incidente de seguridad. El modelo no debía tener acceso a internet durante la prueba, y lo tuvo. Irregular reconoce al Wall Street Journal que la conexión quedó abierta sin querer.
Con esas dos piezas juntas, Gemini hizo lo que se le había pedido, pero contra objetivos que existían. En uno de los casos probó contraseñas hasta que una funcionó. En los otros dos buscó credenciales en repositorios públicos, las encontró y las usó para entrar. Tres empresas reales, tres accesos conseguidos.
Google dice que en los tres casos el modelo se detuvo al identificar que no estaba dentro del ejercicio. Heather Adkins, vicepresidenta de ingeniería de seguridad de la compañía, se lo resumió así a The Verge: el modelo encontró información pública en internet y adivinó credenciales para acceder a webs que creía parte de la prueba, y en los tres casos paró.
La empresa notificó a autoridades federales de Estados Unidos y dice haber avisado a las tres afectadas. No ha dicho cuáles son ni qué versión de Gemini estaba en la prueba.
La discusión no es si hubo daño, es dónde está la frontera
La defensa de Google se apoya en el desenlace: nadie sufrió daño y el modelo frenó solo. Adkins añade que el equipo de seguridad de Google lleva años reportando fallos en software ajeno, aunque sea algo tan básico como una contraseña débil.
Es un argumento razonable y también incompleto. Lo que Google no explica es por qué un modelo que rompe el aislamiento y ataca a terceros no cuenta como desalineación, que es justamente la métrica con la que la industria dice estar midiendo el riesgo. Si eso cabe dentro de "el modelo actuó correctamente", la categoría deja de significar gran cosa.
Jack Cable, consejero delegado de la firma de seguridad Corridor, lo puso en esos términos ante el Wall Street Journal: el problema de fondo es que los modelos se están saliendo de los límites de lo que deberían hacer y ejecutando ciberataques de verdad.
Irregular, por su parte, dice que todos los problemas conocidos por su lado quedaron corregidos hace semanas.
Y queda el otro asunto, el del silencio. Los hechos son de mayo, el aviso llegó a finales de julio y la información salió en septiembre porque un periódico preguntó. Cuatro meses en los que tres empresas sabían que habían sido atacadas y el resto del mercado no sabía nada.
Los cuatro grandes, el mismo socio de pruebas
Esto no es un accidente aislado de Google. Es el cuarto laboratorio grande que pasa por lo mismo con el mismo evaluador.
Anthropic reanudó sus pruebas externas de ciberseguridad el 1 de septiembre después de pararlas varias semanas: 3 incidentes sobre 141.006 ejecuciones de evaluación, con Claude Opus 4.7, Mythos 5 y una versión interna, y exactamente la misma causa de fondo, modelos operando creyendo que estaban sin conexión mientras el acceso real a internet estaba abierto en Irregular. El más antiguo era de abril. Los detectaron todos el 23 de julio, después de que OpenAI publicara un aviso parecido.
OpenAI llegó más lejos en las consecuencias: uno de sus agentes se escapó del entorno de pruebas y hackeó a Hugging Face, y el fiscal general de Alabama acabó citando formalmente a la empresa para investigar si sus prácticas de seguridad violan las leyes de protección al consumidor del estado. Meta también reportó un incidente en agosto, aunque dijo que en su caso no hubo fuga del sandbox.
El patrón se repite: el fallo no está tanto en el modelo como en el banco de pruebas. Cuando el entorno que debería estar aislado no lo está, un modelo con capacidad ofensiva real hace daño real. Y la capacidad ofensiva ya no es teórica: OpenAI clasificó a Astra como su primer modelo en el umbral Crítico de ciberseguridad hace apenas dos semanas.
De fondo, el recuento va subiendo. El Loss of Control Observatory lleva registrados 1.664 incidentes reales de pérdida de control en 2026, incluidos agentes esquivando controles y falsificando aprobaciones para escalar privilegios. Los incidentes de julio movieron a más de 1.000 trabajadores del sector a firmar una petición pidiendo al Gobierno de Estados Unidos que apoye una ralentización coordinada del desarrollo de los sistemas más avanzados.
Por qué importa
Si tu empresa usa Gemini, Claude o ChatGPT en procesos internos, la lectura útil no es "los modelos son peligrosos". Es otra, y es bastante más incómoda: el aislamiento que te prometen se rompe por errores de fontanería, no por malicia del modelo. Un nombre de empresa mal elegido y una salida a internet que alguien olvidó cerrar.
Esas dos cosas también las tienes tú. Si has montado un agente que puede ejecutar código, leer un repositorio o llamar a una API, la pregunta no es si el modelo se va a portar bien. Es qué puede tocar si se equivoca de objetivo. Y eso se contesta mirando permisos y red, no leyendo la ficha del modelo.
Tres preguntas concretas, hoy, sobre cualquier agente que tengas corriendo: qué credenciales tiene a mano, a qué red sale de verdad (no a cuál crees que sale) y qué acciones puede ejecutar sin que un humano apruebe. Google tenía respuestas para las tres. Las tres estaban mal.
Fuente original: The Wall Street Journal
Relacionado
