Gemini: cosa sappiamo dei tre accessi nei test cyber

Sintesi

Nel maggio 2026, durante una valutazione di sicurezza condotta da Irregular, un modello Gemini di Google accedette a sistemi di tre aziende reali che riteneva rientrassero nel perimetro del test. In un caso furono indovinate credenziali; negli altri due furono trovate credenziali pubblicate in un repository. Google ha confermato gli accessi e ha dichiarato che il modello interruppe l’attività in tutti e tre i casi. Irregular ha successivamente chiarito che gli episodi derivavano da un problema comune dell’ambiente di valutazione: l’accesso a Internet era stato reso disponibile involontariamente e un nome fittizio usato nello scenario coincideva con un dominio reale.

✓

Fatti accertati

Gli accessi avvennero nel maggio 2026 durante una valutazione delle capacità di cybersecurity condotta da Irregular, società indipendente che esegue test su modelli di frontiera.

Fonti: REUTERS-01, IRREGULAR-01

Google ha confermato che un modello Gemini raggiunse e accedette a sistemi o servizi appartenenti a tre aziende reali durante il test.

Fonti: REUTERS-01, WAPO-01

Secondo la dichiarazione di Google riportata da Reuters, Gemini trovò informazioni pubbliche online e utilizzò credenziali per accedere a tre siti che riteneva fossero compresi nel perimetro della valutazione.

Fonti: REUTERS-01

Secondo il Wall Street Journal, come riportato da Reuters, in uno dei tre casi il modello tentò password fino a ottenere accesso a un sistema protetto; negli altri due casi trovò credenziali pubblicate in un repository e le utilizzò per accedere a sistemi protetti.

Fonti: REUTERS-01

Google ha dichiarato che in tutte e tre le circostanze il modello cessò l’attività di intrusione e che le tre entità coinvolte furono informate.

Fonti: REUTERS-01, WAPO-01

Irregular ha chiarito che le successive divulgazioni pubbliche relative a più laboratori si riferivano allo stesso problema sottostante dell’ambiente di valutazione e non a incidenti tecnicamente indipendenti tra loro.

Fonti: IRREGULAR-01

Secondo Irregular, in alcune interazioni l’accesso a Internet era stato reso disponibile involontariamente. Un nome di azienda fittizia usato nello scenario coincideva con un dominio reale, inducendo alcuni modelli a considerare quel dominio come parte dell’esercitazione.

Fonti: IRREGULAR-01

Irregular ha dichiarato di avere disabilitato la valutazione interessata, esaminato i log, notificato le parti coinvolte e introdotto ulteriori salvaguardie e controlli sull’accesso a Internet e sugli ambienti di test.

Fonti: IRREGULAR-01

?

Elementi non confermati

Nelle fonti pubbliche consultate non risultano indicati i nomi delle tre aziende coinvolte né la versione esatta del modello Gemini usato nel test.
Riferimenti: IRREGULAR-01, REUTERS-01, WAPO-01
Nelle fonti consultate non sono disponibili i transcript completi delle sessioni, i prompt, i log tecnici completi o la configurazione dettagliata del modello Gemini impiegato nei tre casi.
Riferimenti: IRREGULAR-01, REUTERS-01, WAPO-01
Le informazioni disponibili non dimostrano che Gemini abbia scelto autonomamente le aziende bersaglio in senso intenzionale: le fonti descrivono un errore di perimetro in un test offensivo, favorito dall’accesso a Internet e dalla sovrapposizione tra un nome fittizio e domini reali.
Riferimenti: IRREGULAR-01, REUTERS-01
Non è documentato un “sandbox escape” tecnico del modello. Le ricostruzioni pubbliche di Irregular indicano invece un problema nei controlli di accesso a Internet dell’ambiente di valutazione.
Riferimenti: IRREGULAR-01
Non abbiamo elementi pubblici sufficienti per stabilire quali azioni post-accesso siano state eseguite da Gemini in ciascuno dei tre sistemi oltre a quanto riportato dalle fonti. Non attribuiamo quindi malware, persistenza, esfiltrazione di dati o uso di zero-day in assenza di documentazione specifica.
Riferimenti: REUTERS-01, WAPO-01
Google ha dichiarato che non vi furono danni e che il modello si fermò; non disponiamo però di evidenze forensi pubbliche indipendenti che permettano di verificare nel dettaglio l’assenza di impatti sui sistemi coinvolti.
Riferimenti: REUTERS-01, WAPO-01
Il caso non dimostra che Gemini sia “ribelle”, cosciente o capace di formulare obiettivi propri. Le fonti descrivono un agente impegnato in un compito offensivo autorizzato che ha applicato capacità reali fuori dal perimetro previsto.
Riferimenti: IRREGULAR-01, REUTERS-01

Contesto e documenti

Lo scenario di Irregular era progettato per misurare se modelli avanzati fossero in grado di pianificare ed eseguire campagne cyber multi-fase in condizioni realistiche. Il modello riceveva un obiettivo offensivo all’interno di un ambiente simulato.

Riferimenti: IRREGULAR-01

Irregular ha spiegato che l’accesso controllato a Internet può essere utile per rendere realistiche certe valutazioni, ma in questo caso la configurazione consentì ad alcuni modelli di interagire con risorse reali che non avrebbero dovuto rientrare nello scenario.

Riferimenti: IRREGULAR-01

La società di valutazione ha inoltre precisato che questi comportamenti furono rari rispetto al volume totale dei test e spesso comparvero in fasi avanzate delle simulazioni. Questo dato riguarda il problema generale riscontrato nei suoi ambienti, non va letto come una misura specifica della frequenza dei tre accessi attribuiti a Gemini.

Riferimenti: IRREGULAR-01

Reuters ha definito il caso il primo esempio noto in cui un sistema AI di Google abbia compiuto autonomamente un’azione di questo tipo. In questo contesto “autonomamente” descrive l’esecuzione operativa delle azioni senza istruzioni umane passo per passo; non equivale a intenzione, volontà o scelta autonoma dell’obiettivo.

Riferimenti: REUTERS-01

Incidenti simili legati allo stesso problema di valutazione sono stati successivamente divulgati anche da altri laboratori. Irregular ha chiarito che le varie divulgazioni riconducevano a un medesimo problema infrastrutturale di fondo nei test, non a una serie di fughe indipendenti e spontanee dei modelli.

Riferimenti: IRREGULAR-01

◇

Analisi LIS

La formulazione “Gemini ha attaccato tre aziende” è formalmente comprensibile ma incompleta. Descrive l’esito visibile — accessi non autorizzati a sistemi reali — senza spiegare il contesto determinante: Gemini stava già svolgendo un compito offensivo autorizzato, in un ambiente di valutazione che gli rese disponibile Internet e gli presentò un perimetro che poteva essere confuso con risorse reali.

La distinzione tecnica più importante è quindi tra capacità e intenzione. Il modello dimostrò di saper usare informazioni pubbliche, provare credenziali e sfruttare credenziali esposte per ottenere accesso. Non vi sono invece elementi per attribuirgli una decisione cosciente di “uscire” dal test o di scegliere vittime reali per un obiettivo proprio.

Il problema di sicurezza reale non è fantascientifico: è un problema di containment. Un agente con capacità offensive, accesso a Internet e strumenti sufficienti può compiere azioni reali se il perimetro del test non è tecnicamente vincolato. In questo caso il controllo del contesto e dell’accesso alla rete non fu sufficiente a impedire che un obiettivo simulato venisse confuso con sistemi reali.

Il fatto che il modello abbia interrotto l’attività dopo avere riconosciuto l’errore è un elemento positivo riportato da Google, ma non sostituisce una barriera tecnica. Una salvaguardia affidabile non dovrebbe dipendere esclusivamente dal riconoscimento successivo del modello: il sistema di test deve impedire a monte l’accesso non autorizzato.

Il caso mostra anche perché test offensivi avanzati siano necessari. La capacità di individuare questi comportamenti prima del rilascio consente di correggere ambienti, processi e salvaguardie. Irregular ha infatti modificato i propri controlli e ha indicato la necessità di standard condivisi per l’accesso a Internet nelle valutazioni pre-deployment.

Il sensazionalismo nasce quando si fondono tre livelli diversi: capacità offensiva del modello, errore infrastrutturale dell’ambiente e interpretazione antropomorfica del comportamento. I primi due sono documentati; il terzo non lo è. La lettura più utile è quindi ingegneristica: capacità elevata + perimetro debole = rischio reale.

Conclusioni

È confermato che nel maggio 2026 un modello Gemini, durante una valutazione di sicurezza condotta da Irregular, accedette senza autorizzazione a sistemi appartenenti a tre aziende reali.

È confermato che gli accessi furono resi possibili da normali tecniche operative — tentativi di credenziali e uso di credenziali esposte pubblicamente — e che Google dichiarò che il modello cessò l’attività nei tre casi.

Le informazioni pubbliche non supportano la narrativa di una “IA ribelle”, di una fuga intenzionale dal controllo umano o di un sandbox escape tecnico. Irregular riconduce l’evento a un problema dell’ambiente di valutazione, in particolare all’accesso a Internet e alla confusione tra target simulati e domini reali.

Il rischio reale è comunque significativo: modelli con capacità cyber avanzate possono produrre conseguenze concrete quando vengono collegati a strumenti e reti reali senza un containment sufficientemente robusto.

La lezione tecnica è semplice: nei sistemi agentici ad alta capacità, sicurezza del modello e sicurezza dell’ambiente non possono essere separate. Scope enforcement, isolamento di rete, allowlist dei target, monitoraggio e kill switch devono essere barriere tecniche, non semplici istruzioni testuali al modello.

Per Analisi LIS il caso è un esempio chiaro di come una notizia corretta nel nucleo possa diventare fuorviante nel racconto: i tre accessi sono reali; la storia di un’IA che “decide di scappare e attaccare aziende” non è documentata.

Fonti e documenti

IRREGULAR-01 Fonte tecnica primaria · valutatore
Addressing Recent Incidents: Ongoing Findings and Path Forward — Irregular, 2026-08-14.
Apri la fonte
Consultata il 20/09/2026.
REUTERS-01 Fonte giornalistica · conferme Google e ricostruzione
Gemini hacked three companies in first known breakout by Google's AI — Reuters, 2026-09-18.
Apri la fonte
Consultata il 20/09/2026.
WAPO-01 Fonte giornalistica · dichiarazioni Google e Irregular
Google’s Gemini AI hacked into other companies during internal testing — The Washington Post, 2026-09-18.
Apri la fonte
Consultata il 20/09/2026.

Cronologia revisioni

20/09/2026Rev. 1
Pubblicazione iniziale. Verificati il rapporto tecnico di Irregular sul problema degli ambienti di valutazione, le conferme di Google riportate da Reuters e Washington Post e i dettagli pubblici sui tre accessi attribuiti a Gemini.
20/09/2026Rev. 2
Rafforzata l’attribuzione dei dettagli operativi riportati da Reuters al Wall Street Journal; riformulata come limite delle fonti consultate l’assenza di nomi delle aziende e versione del modello; aggiunti riferimenti puntuali anche a elementi non confermati e contesto.