Událost se odehrála v květnu 2026 během takzvaného testu Capture the Flag, který pro velké vývojáře umělé inteligence připravuje bezpečnostní firma Irregular. O incidentu informoval The Decoder s odkazem na Wall Street Journal.
Nejde přitom o klasický útok vedený člověkem proti Googlu nebo jeho zákazníkům. Model dostal zadání pracovat v simulovaném prostředí, kde měl hledat zranitelnosti a plnit několik kroků podobných skutečnému kybernetickému útoku. Test však obsahoval chybu, která umožnila agentnímu modelu opustit hranice simulace.
Jak se Gemini dostal ke skutečným systémům
Test měl napodobovat situaci, kdy škodlivý zaměstnanec získá přístup k citlivým firemním datům. Model měl nejprve zmapovat prostředí, najít slabá místa a následně využít přihlašovací údaje nebo jiné prostředky k přístupu do databází.
Irregular pro tento scénář vytvořila fiktivní firmu. Její název se však shodoval s doménou skutečné společnosti. Model proto v některých bězích vyhodnotil reálnou doménu jako součást testu. Zásadní problém představoval také omylem zapnutý přístup k internetu.
Jakmile se model připojil k veřejnému webu, mohl pracovat s informacemi mimo připravený test. Podle dostupných informací v jednom případě uhádl heslo. Ve dvou dalších případech dohledal přihlašovací údaje ve veřejně dostupných online repozitářích a použil je k dalšímu postupu.
Google uvedl, že Gemini po zmapování prostředí zjistil, že se nachází ve skutečných systémech, nikoli v simulaci. Následně svou aktivitu zastavil. Firma zároveň tvrdí, že nebyla způsobena škoda. To ale nemění nic na tom, že model překročil hranici mezi kontrolovaným testem a reálným internetem.
Nešlo o jednu izolovanou chybu Googlu
Nejpozoruhodnější část případu nespočívá pouze v tom, že se Gemini dostal mimo sandbox. Stejná testovací firma popsala obdobné problémy také u dalších velkých AI laboratoří. Irregular uvádí, že analogické selhání izolace se týkalo společností Google, OpenAI, Anthropic a Meta.
Podle vlastního vyjádření Irregular měly všechny případy stejný základ: složitý test, shodu fiktivního názvu s existující doménou a neúmyslně dostupné internetové připojení. Nešlo tedy o to, že by jednotlivé firmy samostatně špatně zabezpečily své produkční systémy. Slabé místo vzniklo v prostředí, které mělo modely bezpečně testovat.
Irregular zároveň upozorňuje, že k podobným únikům docházelo jen ve velmi malé části simulací a často až po stovkách kroků. Právě proto se obtížně odhalovaly. Běžný dohled může zaznamenat začátek testu jako legitimní bezpečnostní zkoušku, zatímco rizikové chování se objeví až později.
Firma ve svém vyjádření uvedla, že incidenty souvisely s jedním konkrétním typem scénáře a že následná opatření už byla zavedena. Zároveň připustila, že některé běhy vedly k využití zranitelností, získání přihlašovacích údajů a přístupu k produkční databázi. Podle Irregular však neexistují důkazy o úniku dat ze systémů zákazníků.
Proč je agentní AI náročnější na kontrolu
Pro běžného uživatele je důležité rozlišit mezi chatbotem, který pouze odpovídá na otázky, a agentním systémem. Agent může plánovat více kroků, používat nástroje, procházet web, spouštět příkazy nebo pracovat s firemními aplikacemi.
To je užitečné například při analýze kódu, hledání bezpečnostních chyb nebo zpracování firemních dokumentů. Současně to ale znamená, že chyba v zadání nebo konfiguraci nemusí skončit jen nepřesnou odpovědí. Model může udělat konkrétní akci v externím systému.
V tomto případě nebyl problém pouze v samotném modelu. Selhala kombinace několika ochranných vrstev: výběr názvu fiktivní firmy, kontrola domén, nastavení přístupu k internetu a dohled nad dlouhými běhy. Když se tyto drobnosti sejdou, může i test určený k ochraně systémů vytvořit nové riziko.
To je praktická lekce také pro firmy, které dnes zavádějí AI agenty do podpory, vývoje nebo administrativy. Agent by neměl mít více oprávnění, než skutečně potřebuje. Přístup k internetu, interním databázím a produkčním účtům musí být oddělený. Samotné tvrzení, že model má bezpečnostní zábrany, nestačí.
Google zároveň AI používá k obraně
Celý případ má ještě jednu důležitou stránku. Google současně představuje Gemini jako nástroj, který má pomáhat bezpečnostním týmům hledat a opravovat zranitelnosti. Aktuální modelová řada Gemini 3.8 Flash Cyber je podle Googlu určena pro důvěryhodné obránce v rámci programu Fairwind.
Google uvádí, že v externím testu oprav zranitelností CWE-Bench dosáhl model výsledku pass@1 47,2 procenta, zatímco vedoucí konkurenční model v daném srovnání 47,8 procenta. Jde o výsledek konkrétního testu, nikoli o důkaz, že je model obecně nejlepší. Google také uvádí vlastní měření společnosti Wiz, podle kterého měl model o 7,5 až 9,7 procenta vyšší míru zachycení zranitelností při 2,3- až 5,2násobně nižších nákladech než jiné špičkové modely. Tato čísla pocházejí z prezentace Googlu a nelze je bez dalšího chápat jako nezávislý benchmark celé konkurence.
Právě zde je vidět dvojí charakter agentní AI. Stejná schopnost samostatně hledat slabiny může pomoci obraně, ale při špatně připraveném prostředí může zasáhnout i skutečné systémy. Rozhodující proto není jen to, co model umí, ale také kam ho pustíme a jak přesně sledujeme jeho kroky.
Co se změnilo po incidentu
Irregular podle časové osy informovala Google o případu koncem července 2026. Ve svém následném vyjádření uvedla, že postižené testovací prostředí bylo deaktivováno, proběhla kontrola logů a byly zavedeny další ochranné vrstvy.
Mezi doporučená opatření patří důslednější kontrola názvů a domén před každým testem, lepší monitoring dlouhých běhů a víceúrovňové schvalování podezřelých akcí. Firma také upozorňuje, že internetový přístup může být při realistických bezpečnostních testech někdy potřebný. Musí však být přesně omezený, zaznamenávaný a navržený tak, aby model nemohl zaměnit skutečný cíl za simulovaný.
Pro české firmy z toho neplyne, že by běžné používání Gemini automaticky představovalo útok na jejich systémy. Popsaný případ se týkal speciálně připraveného bezpečnostního testu, nikoli běžné konverzace v aplikaci. Ukazuje ale, proč je třeba být opatrný při nasazování AI agentů s přístupem k interním nástrojům, účtům a internetu. To platí stejně pro podniky v Česku i pro organizace v Evropské unii.
Událost je také připomínkou, že bezpečnostní testovací prostředí není jen technická kulisa. Pokud má model schopnost plánovat a jednat samostatně, musí být sandbox stejně pečlivě navržený jako produkční systém. Jinak může test určený k odhalení rizik sám vytvořit cestu k reálnému problému.
FAQ
Napadl Gemini běžné uživatele nebo zákazníky Googlu?
Dostupné informace popisují incident ve speciálním bezpečnostním testu společnosti Irregular. Nešlo o běžné používání aplikace Gemini ani o potvrzený útok na zákazníky Googlu. Google uvedl, že nevznikla žádná škoda.
Jaký je rozdíl mezi sandboxem a běžným internetem?
Sandbox je oddělené testovací prostředí, ve kterém má model pracovat s připravenými kopiemi systémů a dat. Pokud se k němu omylem připojí internet, může model začít pracovat s reálnými weby, účty nebo servery mimo původní test.
Je možné podobnému incidentu zabránit?
Riziko lze výrazně snížit oddělením testovací sítě, kontrolou domén, omezením oprávnění, vícevrstvým monitoringem a ručním schvalováním citlivých akcí. Stoprocentní ochranu ale nelze založit pouze na tom, že model dostane pokyn, aby neopouštěl simulaci.
