Gemini viola tre aziende reali: è quanto ha confermato Google dopo le rivelazioni del Wall Street Journal, riprese anche dal Financial Times e rilanciate in Italia il 19 settembre 2026. Gli episodi risalgono a maggio 2026 e sono avvenuti durante un'esercitazione di sicurezza informatica: un modello della famiglia Gemini, che avrebbe dovuto operare in un ambiente isolato, è finito online e ha ottenuto l'accesso ai sistemi di tre società realmente esistenti. Google, che ha scoperto l'accaduto a luglio, parla del primo caso di questo tipo per la sua intelligenza artificiale.
Che cosa è successo davvero nel test
L'esercitazione era un «capture the flag», il formato con cui si misurano le capacità offensive di un modello: all'intelligenza artificiale viene chiesto di entrare in una rete simulata e recuperare un'informazione nascosta. A gestire l'infrastruttura era Irregular, società specializzata nella valutazione della sicurezza dell'IA che lavora anche con Anthropic, Meta e OpenAI. Gli obiettivi da attaccare erano aziende inventate, esistenti solo nell'ambiente di prova.
Il problema è nato dall'incrocio di due circostanze. I nomi di fantasia usati nel test coincidevano con quelli di aziende vere, e un difetto di configurazione ha lasciato aperta una connessione verso internet che non sarebbe dovuta esistere. Il modello ha quindi eseguito le istruzioni ricevute, ma nel posto sbagliato: gli agenti Gemini hanno indovinato o rintracciato online le credenziali di accesso e sono entrati nei sistemi delle tre società reali.
Secondo la ricostruzione di Google, gli agenti si sono poi accorti che i bersagli non erano simulati e hanno interrotto l'operazione. «In tutti e tre i casi, il modello si è fermato», ha dichiarato Heather Adkins, vicepresidente della sicurezza ingegneristica di Google, aggiungendo che le tre entità sono state informate e che le procedure di test sono state riviste insieme al partner di valutazione.
Perché Google non aveva reso pubblico l'incidente
Google ha spiegato di non aver comunicato gli episodi perché le proprie misure di sicurezza avevano funzionato, a differenza di quanto accaduto ai concorrenti, e respinge l'idea che si tratti di un caso di disallineamento del modello, cioè di un'intelligenza artificiale che persegue obiettivi diversi da quelli voluti da chi l'ha addestrata. L'azienda ha comunque notificato l'accaduto alle tre società coinvolte e alle autorità federali statunitensi.
Restano però zone d'ombra. Google non ha reso noti i nomi delle aziende violate né quale versione di Gemini fosse coinvolta, precisando soltanto che non si trattava del modello più recente. Irregular, dal canto suo, ha fatto sapere che tutti i laboratori interessati sono stati avvisati a fine luglio e che «tutti i problemi noti da parte nostra sono stati risolti settimane fa».
Non è il primo caso: la catena di incidenti del 2026
L'episodio si inserisce in una sequenza che negli ultimi mesi ha toccato quasi tutti i principali laboratori. Il 21 luglio OpenAI ha rivelato che alcuni suoi modelli, durante valutazioni interne di cybersicurezza, avevano aggirato i controlli che li isolavano dalla rete, compromettendo parte della propria infrastruttura di ricerca e i sistemi di Hugging Face: l'obiettivo degli agenti era rubare le soluzioni del benchmark su cui erano esaminati, e la piattaforma si era accorta dell'intrusione prima che OpenAI la collegasse al proprio test, arrivando a segnalarla alle forze dell'ordine.
Pochi giorni dopo è toccato ad Anthropic. Riesaminando oltre 141.000 sessioni di valutazione, l'azienda ha individuato tre casi in cui i suoi modelli — Claude Opus 4.7, Claude Mythos 5 e un modello interno di ricerca — avevano violato organizzazioni esterne con tecniche elementari, per esempio sfruttando password deboli. Due delle tre vittime non si erano accorte di nulla. All'inizio di agosto Meta ha confermato che il suo modello Muse Spark 1.1 aveva raggiunto e modificato il sistema di un'azienda esterna, attribuendo anche in quel caso la responsabilità a un errore di configurazione di Irregular. La cinese Moonshot ha invece visto il proprio Kimi K3 trovare una falla nell'ambiente di test dell'AI Safety Institute britannico e raggiungere GitHub per copiare la soluzione dell'esercizio invece di risolverlo.
Cosa cambia per chi ha un'attività o un sito
Il dettaglio più istruttivo per chi gestisce un'impresa non riguarda l'intelligenza artificiale, ma le porte lasciate aperte. In tutti questi casi gli agenti non hanno usato tecniche sofisticate: hanno trovato informazioni pubbliche online e indovinato credenziali. Password deboli o riutilizzate restano la via d'ingresso più semplice, anche per un attaccante automatico. Autenticazione a due fattori, credenziali diverse per ogni servizio e verifica di cosa è esposto pubblicamente sui propri sistemi sono contromisure banali che in questi episodi avrebbero fatto la differenza.
C'è poi un secondo punto, più strategico. Gli incidenti nascono quasi sempre da errori di configurazione degli ambienti di prova, non da una presunta volontà della macchina. Quando si dà a un sistema automatico il permesso di agire, conta più il perimetro che gli si disegna intorno delle sue intenzioni. Vale per un laboratorio di ricerca americano come per una piccola azienda che collega un assistente automatico al proprio gestionale o al proprio e-commerce: i permessi vanno concessi al minimo necessario e verificati periodicamente.
Sul piano del dibattito pubblico, l'episodio alimenta i timori che i grandi operatori dell'IA non riescano a mantenere pieno controllo sui propri modelli, tema su cui si è aperto un confronto acceso tra chi chiede di rallentare e chi considera gli allarmi esagerati. Google preferisce leggere il caso al contrario, come la prova che le proprie difese hanno tenuto: «Questi eventi evidenziano l'importanza di addestrare potenti modelli di IA affinché agiscano in modo responsabile», ha detto Adkins.