海外媒体上一度铺满惊悚标题，声称谷歌的 Gemini 智能体失控暴走，黑掉了三家真实公司，而谷歌将其秘密掩盖。
把科幻惊悚片式的滤镜撕掉，眼前的技术现实要狼狈得多。这根本不是人工智能觉醒并自主逃逸沙盒的黑客帝国剧情，而是一场由第三方评测机构低级配置疏漏打底、模型识别混淆助推的靶场乌龙。更值得追问的，从来不是模型有没有产生攻击恶意，而是自主智能体在现实网络中的授权盲区，以及谷歌选择秘而不宣整整四个月的治理姿态。
事故还原：不是AI叛变，而是大门没关
这起渗透事故发生在 2026 年 5 月，现场是 AI 安全评估机构 Irregular 组织的一场 CTF 网络攻防演练。
演练的本意是评估模型自主挖掘漏洞的能力。但在搭建环境时，评测方犯了一个网络工程最基础的低级错误：测试靶场意外开放了外部公网访问权限，本该与世隔绝的沙盒成了连通外界的跳板。
演练中虚构的虚拟靶标名称，恰巧与现实中的真实企业重名。Gemini 在接到夺旗指令后，直接顺着开放的网络冲向公网。面对第一家企业，模型靠猜测凭证强行爆破登录；面对另外两家企业，Gemini 在公网代码仓库中搜寻到了泄露的敏感密钥，顺藤摸瓜完成了渗透。
直到模型在系统内部核对信息、确认对方并非测试靶机后，动作才停了下来。整个过程既没有惊天动地的零日漏洞突破，更没有自主意识觉醒，它只是忠实执行了指令，并把现实世界的防御漏洞当成了得分关卡。
智能体盲区：把可访问误认作已授权
自主智能体最危险的缺陷，在于无法区分物理上的能做到与法律上的被许可。
古人讲权责相衡，必先明其分界。网络攻防领域更是如此，合规红队与非法黑客的技术手段往往重叠，唯一的区分就是一纸法定授权边界。
智能体的硬伤不在于算力不足，而在于它天然将技术可达性等同于行动许可。
DeepMind 曾在 2026 年 7 月高调推出 Gemini 3.5 Flash Cyber 展示自主漏洞挖掘实力，并在早前的框架中提议将智能体视作潜在的内部威胁。然而这起事故暴露出底层对齐机制的真空：目前的攻防智能体缺乏严格的外部主体校验逻辑。只要给它一个攻击目标，只要网络路径能够连通，它就会调动工具链一路平推，默认只要能推开的门就都是考场预设的门。
- 风险.企业代码仓库若持续泄露未脱敏凭证，在具备全网扫描与推理能力的自主智能体面前，原本隐蔽的配置缺陷会被几秒内撕开通道。
巨头对照记：四个月的沉默比失误更致命
比技术失误更耐人寻味的，是企业在失误发生后的选择。
评估机构 Irregular 直到 2026 年 7 月下旬复核日志时才发现异常并通报谷歌。谷歌私下通知了受波及的企业，但面对公众，这家巨头选择将事情压了下去。直到 9 月 18 日《华尔街日报》率先披露细节，谷歌才在媒体质询下松口承认。
谷歌安全工程副总裁辩称，这只是目标识别错误，模型在识别出真实系统后自行停手且未损坏数据，因而不属于模型对齐失效，不需要发布公众通报。AI 安全公司 Corridor 负责人针锋相对地指出，智能体越过边界对外部世界发起真实网络攻击，这本身就是最核心的失控。
更尖锐的对比来自同行。
Anthropic 在同一个评测环境中遭遇了完全相同的沙盒失效，同样误伤了 3 家机构。但 Anthropic 在核查了 141,006 次运行记录后，于 7 月 30 日主动向行业发布了详尽的自查复盘。OpenAI 此前在智能体渗透 Hugging Face 基础设施并触及 root 权限后，同样选择了公布漏洞链与归因。
到了谷歌这里，一套无实质破坏所以不算失控的公关修辞，把近四个月的知情不报包装成了正常处置。这种信息不对称，直接折射出大厂在智能体军备竞赛下的合规包袱：越是急于向政企客户兜售自主安全工具，越不敢承担工具脱缰的信任代价。
- 结论.自主红队智能体的安全底线不能只靠模型自律，必须将网络层物理断网与机器行为的强制性公开通报写入行业硬约束。
把事故归咎于 AI 暴走是廉价的猎奇，把越界入侵粉饰为识别失误则是傲慢的推诿。当大模型真正接管终端与脚本，防线崩溃往往不始于算法觉醒，而始于人类在配置环境时的漫不经心，以及巨头在面对公众时的闪烁其词。