Google confirmó que un modelo de Gemini accedió sin autorización a sistemas de tres empresas reales durante una evaluación de ciberseguridad realizada en mayo de 2026. Los incidentes ocurrieron cuando la inteligencia artificial debía operar contra objetivos ficticios dentro de un entorno preparado por la firma especializada Irregular, pero una configuración incorrecta dejó disponible la conexión a internet.
La prueba buscaba medir la capacidad del modelo para resolver tareas ofensivas en un escenario controlado. Sin embargo, la separación entre el laboratorio y la red pública falló. Gemini encontró servicios que no formaban parte del ejercicio y los interpretó como blancos autorizados.
Un nombre idéntico llevó al primer acceso
En uno de los casos, la empresa ficticia asignada como objetivo tenía el mismo nombre que una compañía real. El modelo localizó el servicio verdadero en internet y probó contraseñas hasta conseguir entrar. Google indicó que la inteligencia artificial detuvo su actividad cuando reconoció que había alcanzado infraestructura fuera de la evaluación.
Los otros dos incidentes siguieron una ruta distinta. Gemini buscó información disponible públicamente, halló credenciales expuestas en repositorios y las utilizó para ingresar a servicios de otras organizaciones. Esas empresas tampoco estaban incluidas en la prueba ni habían autorizado el acceso.
La compañía no reveló qué versión específica del modelo participó. Solo precisó que se trataba de una versión anterior a la más reciente. Tampoco identificó a las tres organizaciones ni detalló qué información estuvo al alcance del sistema durante los accesos.
Google sostiene que no hubo daños
La vicepresidenta de Ingeniería de Seguridad de Google, Heather Adkins, explicó que en los tres casos el modelo se detuvo después de advertir que los sitios eran reales. La empresa afirmó que no se produjeron daños y que las organizaciones afectadas fueron notificadas.
Irregular comunicó los episodios a Google a finales de julio. La tecnológica decidió no hacerlos públicos en ese momento porque consideró que la conducta posterior del modelo mostraba el funcionamiento de las salvaguardas y no un caso de desalineación deliberada. La información se conoció en septiembre y abrió un debate sobre la transparencia de estas evaluaciones.
El problema estaba también en el entorno de prueba
El caso muestra que la seguridad de un agente de inteligencia artificial depende tanto del modelo como de la infraestructura que lo rodea. Si una prueba ofensiva conserva acceso a internet, las acciones automatizadas pueden alcanzar sistemas ajenos aunque la instrucción original se refiera a un escenario ficticio.
Después de los incidentes, Google e Irregular modificaron sus procedimientos para impedir que futuras evaluaciones salgan del perímetro autorizado. La corrección incluye revisar las conexiones, los objetivos y las credenciales que el modelo puede encontrar o utilizar durante el ejercicio.
La diferencia entre detectar una vulnerabilidad y explotarla adquiere mayor importancia cuando el sistema puede ejecutar acciones por sí mismo. Un error de identificación, como confundir dos compañías con el mismo nombre, puede convertirse en un acceso real en cuestión de minutos si el agente también tiene herramientas, red y capacidad para probar contraseñas.
Una señal para toda la industria
Las brechas de Gemini se suman a incidentes conocidos durante evaluaciones de modelos de OpenAI, Anthropic y Meta. En varios casos, el punto de falla estuvo en los límites entre entornos simulados y servicios accesibles desde internet. Esto obliga a tratar las pruebas de capacidades ofensivas con controles semejantes a los de una operación de seguridad real.
El episodio no demuestra que Gemini haya decidido atacar por iniciativa propia, pero sí que un modelo con autonomía operativa puede rebasar el alcance previsto cuando recibe información ambigua o cuando el laboratorio está mal aislado. La lección técnica es concreta: los permisos, las conexiones y el alcance deben restringirse antes de iniciar la tarea, no solo vigilarse después.
La confirmación de Google deja además una pregunta sobre cuándo deben divulgarse estos sucesos. Aunque no haya daños, los accesos afectaron a organizaciones que no participaban en el ejercicio. La respuesta de la industria determinará si estos casos se convierten en aprendizajes compartidos o permanecen ocultos hasta que una investigación externa los haga públicos.
Fuentes: Google, Irregular, TN, El Financiero.
