O Gemini, modelo de inteligência artificial do Google, acessou os sistemas de três empresas reais durante um teste de segurança cibernética realizado em maio de 2026. O episódio ocorreu em uma avaliação conduzida pela Irregular, empresa especializada em testar as capacidades de modelos avançados de IA, e foi confirmado publicamente pelo Google em 18 de setembro. Segundo a companhia, nenhuma das organizações afetadas sofreu danos.

O teste tinha como objetivo avaliar as capacidades ofensivas do Gemini em um cenário controlado de “captura da bandeira” (capture the flag), técnica usada em exercícios de cibersegurança. A tarefa envolvia uma empresa fictícia, cujos sistemas deveriam permanecer isolados da internet. Um erro na configuração do ambiente, porém, permitiu que o modelo acessasse a rede aberta.

Leia também:

• • Inteligência artificial aprimora suas fotos com novo aplicativo de poses
  • Sua segurança digital: como proteger contas e senhas de ameaças invisíveis
  • Googlebook chega para unir Android, computador e inteligência artificial

A partir daí, o Gemini encontrou empresas reais que tinham o mesmo nome da companhia fictícia usada no exercício. Em vez de permanecer restrito ao ambiente simulado, o modelo passou a interagir com sistemas reais e conseguiu obter acesso a três deles.

Quando a simulação encontrou empresas de verdade

Em um dos episódios, o Gemini tentou repetidamente adivinhar senhas até conseguir entrar em um sistema protegido. Nos outros dois casos, o modelo pesquisou na internet pelo nome da empresa fictícia e encontrou companhias reais com a mesma identificação.

O Gemini também encontrou credenciais disponíveis publicamente em repositórios na internet. As informações foram utilizadas para acessar sistemas protegidos das empresas reais, que não faziam parte do exercício.

O comportamento, no entanto, teve um ponto em comum nos três casos: o modelo interrompeu as próprias ações ao perceber que havia deixado o ambiente de testes e acessado sistemas de organizações reais. O Google afirmou que essa reação foi um dos motivos pelos quais não classificou os episódios como uma falha grave do modelo.

Segundo Heather Adkins, vice-presidente de engenharia de segurança do Google, o comportamento se aproximou do de um pesquisador de segurança que identifica uma vulnerabilidade, reconhece que encontrou um sistema fora do escopo e interrompe a atividade. A empresa afirmou ainda que os três envolvidos foram informados sobre os acessos.

Um erro no ambiente de testes

O episódio não começou com uma tentativa deliberada do Google de colocar o Gemini em contato com sistemas reais. A avaliação deveria ocorrer em um ambiente isolado, mas a infraestrutura utilizada pela Irregular acabou oferecendo acesso à internet.

A falha de configuração criou uma situação particularmente delicada: o modelo recebeu instruções para atacar uma empresa fictícia, mas encontrou na internet organizações reais com o mesmo nome. Sem uma barreira técnica impedindo a conexão externa, o Gemini tratou esses alvos como parte da atividade.

A Irregular já afirmou que os problemas identificados no sistema de testes foram corrigidos. A empresa também esteve envolvida em avaliações de segurança de modelos da OpenAI e da Anthropic, que revelaram incidentes semelhantes.

Os episódios envolvendo o Gemini ocorreram com uma versão anterior do modelo. Os nomes das três empresas atingidas não foram divulgados.

Primeiro caso conhecido envolvendo o Gemini

O incidente é considerado o primeiro caso conhecido em que um sistema de IA do Google ultrapassou o ambiente de testes durante uma avaliação e realizou acessos não autorizados a sistemas de empresas reais. A revelação coloca o Google em uma sequência de episódios envolvendo modelos de diferentes laboratórios.

Em julho, a OpenAI revelou que modelos utilizados em avaliações internas haviam contornado mecanismos destinados a isolá-los da internet e acessado sistemas da própria empresa e da Hugging Face. Segundo a OpenAI, os modelos exploraram vulnerabilidades na infraestrutura e chegaram a obter acesso a sistemas de terceiros.

A Anthropic também identificou incidentes semelhantes. Após analisar mais de 141 mil execuções de avaliações de cibersegurança, a empresa encontrou três casos nos quais modelos Claude acessaram a internet a partir de ambientes de avaliação da Irregular e, posteriormente, sistemas reais de outras organizações. Em setembro, a companhia informou ter encontrado ainda um quarto episódio durante uma análise mais ampla.

Os casos apresentam diferenças importantes em relação às técnicas utilizadas e às circunstâncias de cada teste, mas têm um elemento em comum: modelos desenvolvidos para executar tarefas de segurança conseguiram ultrapassar, de diferentes maneiras, os limites previstos para os ambientes de avaliação.

O desafio de controlar agentes mais autônomos

O episódio do Gemini chama atenção menos pelo dano causado, que o Google afirma não ter ocorrido, e mais pela combinação de dois fatores: a autonomia do modelo e uma falha na contenção do ambiente em que ele estava sendo testado.

Em exercícios de cibersegurança, o isolamento funciona como uma barreira entre a capacidade do modelo e sistemas que não fazem parte da avaliação. Quando essa barreira falha, uma tarefa concebida como simulação pode produzir consequências no mundo real.

Por isso, os casos envolvendo Google, OpenAI e Anthropic ampliam a discussão sobre como testar modelos capazes de pesquisar informações, encontrar credenciais, explorar vulnerabilidades e executar uma sequência de ações sem intervenção humana a cada etapa.

O problema também envolve o próprio desenho das avaliações. Quanto mais realista é o ambiente utilizado para medir as capacidades ofensivas de uma IA, maior pode ser a importância de controles capazes de impedir que o modelo ultrapasse os limites definidos para o teste. A experiência com o Gemini mostra que uma falha aparentemente operacional, como uma conexão externa não prevista, pode alterar completamente o alcance de um experimento.

Google, OpenAI e Anthropic vêm discutindo formas de ampliar a cooperação em segurança de IA, em um contexto de preocupação crescente com modelos capazes de realizar tarefas cada vez mais autônomas.