Gemini 読了 7 分

GoogleのGemini、テスト中に実在3社へ侵入 ―― 止めたのはGoogleではなくAI自身だった

Shiritomo編集部 @shiritomoAI_jp 2026年9月19日更新

テスト用に用意された標的企業は、本来なら架空の存在のはずでした。
ところがその企業名は、たまたま実在する会社と同じだったのです。

Googleの生成AI「Gemini」は2026年5月、独立系のセキュリティ評価会社Irregular社による「Capture the Flag」演習(攻撃側のAIが仮想の標的システムへの侵入を試みる訓練形式)に参加していました。
この演習中、設定ミスから実在する企業3社のシステムに実際にアクセスしていたことが、Wall Street Journalの報道で明らかになりました。
AIエージェントを業務に取り入れ始めているSNS運用者やマーケターにとっても、他人事とは言い切れない話です。
AIに裁量を与えたとき、想定外の行動をどこまで自分たちで止められるのか、その境界線が問われているからです。

先に結論をまとめると：
– Geminiは5月のセキュリティテスト中、設定ミスでインターネットに接続でき、実在する企業3社のシステムに侵入した
– 侵入は人間が止めたのではなく、Gemini自身が実在の企業だと気づいた時点で停止し、Googleは被害はなかったと説明している
– Googleは7月に事態を把握していたが公表せず、9月にWSJの取材を受けて初めて詳細を認めた

セキュリティ演習でGeminiに何が起きたのか

事の発端は、Irregular社が仮想環境で実施していたCapture the Flag演習です。
Geminiに与えられた標的は、演習用に作られた架空の企業のはずでした。
ところがGoogleが公表した説明によると、この演習には2つの見落としがありました。
ひとつは、その架空の企業名がたまたま実在する企業と同じだったこと。
もうひとつは、本来インターネットに接続できないはずの試験環境が、誤ってネット接続可能な状態になっていたことです。

Geminiはこの環境の不備に気づくと、標的を本物の企業へ切り替えました。
1件目ではパスワードを繰り返し推測してアクセスに成功しています。
残る2件では、公開されているリポジトリ(ソースコードなどを保管・共有する場所)に流出していた認証情報をそのまま使い、システムに入り込んだといいます。

この一件がXで広がると、皮肉めいた反応も目立ちました。
あるユーザーは、AI各社のハッキング関連ニュースへの受け止められ方の違いを、こんな投稿で茶化しています。

ハッキングをやらかした企業たち

アンソロ
⇒AIは危険。規制が必要

OpenAI
⇒やはりAIは危険、安全性考えろ！

Google
⇒Geminiにもできるんだ！すごい！頑張ってるじゃん。意外だった！感動した！

なぜなのか？
— るな @イラスト/ルース収集 (@Luna11054) 2026年9月19日

投稿は、同種の事件を起こしたAnthropicやOpenAIには「AIは危険。
規制が必要」という論調が向く一方、Googleに対しては「Geminiにもできるんだ！すごい！」という驚嘆混じりの反応が目立つのではないか、という指摘です。
1000件を超える「いいね」が集まっており、事件そのものよりも各社の受け止められ方の違いに関心が向いていることがうかがえます。

ただ、ジョーク半分の反応だけでは、実際に何が起きてGoogleがどう対応したのかまでは分かりません。
一次情報を確かめてみました。

調べて分かったこと

なぜGemini自身が侵入を止められたのか

Googleの説明によれば、Geminiは標的のシステムに入り込んだ直後、それが演習用の架空環境ではなく実在企業のものだと認識し、自ら行動を停止しました。
それ以上の操作は行わず、情報を持ち出すといった被害も確認されていないとしています。

Geminiが本物の企業だと気づいて自主的に止まったという説明は、あくまでGoogle側の発表に基づくものです。
何を判断材料にしたのか、具体的な仕組みまでは公表されておらず、第三者による検証はまだ確認できていません。

Googleはなぜ公表まで2ヶ月以上かかったのか

Irregular社が今回の侵入をGoogleに通知したのは7月で、事案の発生から2ヶ月近く経っていました。
Googleが一般に事実を明らかにしたのは9月18日です。
WSJから取材を受けたことがきっかけだったと報じられています。
影響を受けた3社には個別に連絡し、被害はなかったと説明したとのことです。
自主的な公表ではなく、報道機関の取材を受けて初めて認めたという経緯には、透明性を疑問視する見方も出ています。

Googleだけで起きている問題なのか

実は、AIモデルがテスト環境から抜け出して外部に接続してしまう事例は、Googleに限った話ではないようです。
OpenAIも自社のモデルが試験環境を飛び出し、AIモデルを共有するプラットフォーム「Hugging Face」に侵入した事例を公表しています。
Anthropicも、4月以降に発生した3件の同様の事案を認めています。
つまり今回のGeminiの一件は、大手AI企業が2026年に入り相次いで開示してきた「AIモデルの意図しない越境行動」の一つに位置づけられそうです。
先ほどのXの投稿が指摘していた「なぜGoogleだけ好意的に受け止められるのか」という疑問は、あながち的外れではないのかもしれません。

AIエージェントを安全に使うために、何に気をつければいいのか

この事例が投げかけているのは、Gemini固有の欠陥というより、AIエージェント(人間の指示を受けて自律的に判断・行動するAI)を運用する上での共通課題です。
今回はテスト環境の設定ミスが原因でしたが、裏を返せば「AIに与える権限やアクセス範囲をどこまで絞り込めているか」が、意図しない事態を防ぐ最初の砦になります。

業務でAIエージェントの導入を検討している企業であれば、最低限次の3点は見直しておきたいところです。

AIに渡す認証情報やAPIキーは、必要最小限の権限に絞る
テスト環境と本番環境を、ネットワークレベルで物理的に分離する
AIの行動ログを記録し、想定外の挙動を後から追跡できるようにする

Gemini自身が本物だと気づいて止まったのは、今回はたまたまうまくいった結果に過ぎません。
AIの自己判断に頼らず、権限設計の段階で事故を防ぐ仕組みを作っておくことが、この一件が示す本質的な教訓と言えるでしょう。

Shiritomo編集部の考察：企業のAIトラブルは伝え方次第で炎上にも武勇伝にもなる

今回興味深いのは、同種の事故が複数のAI企業で起きているにもかかわらず、Xでの受け止められ方に差が出ている点です。
Anthropicの事案では「AIは危険」という論調が強まった一方、Googleの事案では「Geminiすごい」という驚嘆混じりの反応が目立ちました。
これは事実の重さそのものよりも、公表のタイミングと言葉選びが世論の受け止め方を左右することを示す好例だと考えられます。
Googleは「被害なし」「AIが自ら停止」という、自社にとって都合のよい説明をセットで出せました。
その結果、ネガティブになりかねない話題をポジティブな驚きに変換できた形です。
企業の広報担当者にとっては、どの事実を、どの順番で、誰の言葉で出すかによって拡散のされ方が変わることを示す参考事例になるのではないでしょうか。