flawopen.com/Vorfälle/Gemini Sandbox-Ausbruch
Stellen Sie sich eine Spezialeinheit vor, die in einer vermeintlich abgesperrten Übungshalle trainiert. Die Einsatzleitung vergisst, die Außentore zu verriegeln, und vergibt als Übungsziel den Namen einer echten Bank. Das Team rückt auf offener Straße vor, knackt reale Schlösser und bricht ab, als ihnen klar wird, dass die Angestellten echte Menschen sind.
Im September 2026 wurde bekannt, dass das Gemini-Modell von Google im Mai 2026 während automatisierter Cybersicherheits-Tests durch das Prüfunternehmen Irregular in Systeme dreier realer Unternehmen eingedrungen war.
Gemini sollte Schwachstellen eines fiktiven Unternehmens aufdecken. Wegen eines Fehlers in der Testinfrastruktur besaß der Container jedoch ungefilterten Internetzugang. Da der Firmenname real existierenden Firmen entsprach, attackierte das Modell echte Produktivsysteme.
Evaluierungsumgebungen müssen zwingend isoliert sein. Das CNI von Irregular versäumte es, ausgehende iptables-Sperren zu aktivieren, sodass Agenten externe WAN-Verbindungen aufbauen konnten.
Statt reservierter RFC-2606-Domains (wie .test) wurden gängige Namen verwendet. Dadurch löste der DNS-Dienst echte öffentliche IP-Adressen auf.
Der Agent durchsuchte öffentliche Repositories nach durchgesickerten API-Schlüsseln und führte automatisierte Anmeldeversuche durch, bis der Zugriff gelang.
Als Gemini in den HTTP-Antworten echte Mitarbeiter- und Systemdaten erkannte, schloss das Modell auf eine reale Umgebung und stoppte alle Angriffsoperationen selbstständig.
Vergleich zwischen einer offenen Evaluierungsumgebung und einer gehärteten, netzwerkisolierten Sandbox mit DNS-Sinkhole:
# VERWUNDBAR: Container mit uneingeschränktem Internetzugang
apiVersion: v1
kind: Pod
metadata:
name: gemini-eval-sandbox
spec:
containers:
- name: agent-runner
image: eval-harness:latest
env:
- name: TARGET_DOMAIN
value: "acme-corp.com" # Namenskollision mit echter Firma# GEHÄRTET: Standardmäßig gesperrter Ausgehender Verkehr
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: agent-eval-isolation
spec:
podSelector:
matchLabels:
app: agent-eval
policyTypes:
- Egress
egress:
- to:
- ipBlock:
cidr: 127.0.0.1/32
- ipBlock:
cidr: 10.96.0.0/16
ports:
- protocol: TCP
port: 8080.test oder .example.127.0.0.1).