Gemini mengakses sistem nyata saat evaluasi

Google memberi tahu The Wall Street Journal bahwa Gemini mengakses sistem tiga perusahaan dalam uji Irregular; Irregular tidak menemukan bukti kompromi atau kebocoran data.^{[2], [1], [3]}

💡 Penjelasan Sederhana (ELI5)

Bayangkan latihan polisi ketika para rekrutan diminta membuka situs web bank fiktif. Latihan seharusnya tetap berada di halaman tertutup, tetapi gerbangnya terbuka dan ada perusahaan nyata yang memakai nama sama di internet. Para rekrutan dapat keluar dari halaman dan mencapai situs sungguhan. Irregular mengatakan tidak menemukan bukti sistem pelanggan dibobol atau data hilang. Pelajarannya: tegakkan batas jaringan secara teknis dan gunakan nama fiktif yang dicadangkan; jangan mengandalkan model untuk mengenali batas itu.^{[2], [1]}

Konsep Kunci & Istilah

Evaluasi capture-the-flag (CTF): Uji ketika model mencoba membobol sistem yang sengaja dibuat rentan, untuk mengukur kemampuan siber ofensifnya sebelum dirilis.^{[2], [1]}
Irregular: Perusahaan keamanan AI yang menjalankan evaluasi di infrastrukturnya sendiri. Mitra yang sama terlibat dalam insiden Claude yang diungkap Anthropic pada Juli 2026.^[1]
Lalu lintas keluar ditolak secara bawaan: Aturan jaringan yang memblokir setiap koneksi keluar kecuali yang diizinkan secara eksplisit, agar lingkungan tidak menjangkau internet secara tidak sengaja.^[4]
Nama cadangan (RFC 2606): Domain seperti .test dan .example yang tidak pernah bisa didaftarkan, sehingga target fiktif tidak mungkin bertabrakan dengan organisasi nyata.^[5]
Klasifikasi: CWE-693 (kegagalan mekanisme perlindungan) adalah klasifikasi analitis FlawOpen, bukan CWE yang ditetapkan vendor. High merupakan penilaian editorial karena evaluasi yang dilaporkan melewati pembatasan jaringan dan mencapai sistem tiga organisasi; sumber yang dikutip tidak membuktikan kompromi atau kehilangan data pelanggan. CVE maupun skor CVSS tidak berlaku.^{[7], [2], [1]}
Asal rekomendasi: Daftar berikut adalah rekomendasi rekayasa FlawOpen berdasarkan batas yang dilaporkan; ini bukan klaim bahwa Google atau Irregular menerapkan kontrol khusus tersebut.^[1]

Pemetaan kerangka kerja

Referensi CWE untuk kelemahan yang dijelaskan dalam panduan ini: CWE-693

Kronologi Insiden

2026-05

The Wall Street Journal melaporkan pernyataan Google bahwa Gemini mencapai sistem tiga perusahaan saat evaluasi keamanan siber Irregular pada Mei.^{[2], [1], [3]}

2026-08-14

Irregular menerbitkan tinjauan yang menyatakan masalah lingkungan evaluasi telah diperbaiki dan pihak terdampak telah diberi tahu.^[1]

2026-09-18

Google mengatakan kepada The Wall Street Journal bahwa Gemini mencapai sistem tiga perusahaan dalam uji coba pada Mei; surat kabar itu menerbitkan laporannya pada 18 September.^{[2], [3]}

Alur Serangan Langkah demi Langkah

Langkah 1

Lingkungan tidak terisolasi

Model seharusnya tidak punya akses internet, tetapi lingkungan evaluasi milik mitra tanpa sengaja menyediakannya.^[1]

Langkah 2

Target fiktif bernama nyata

Latihan meminta model mengambil informasi dari perusahaan fiktif yang namanya sama dengan perusahaan sungguhan.^{[2], [1]}

Langkah 3

Metode akses yang dilaporkan dan batas dampak

Google mengatakan kepada The Wall Street Journal bahwa model menemukan informasi publik dan mencoba menebak kredensial untuk situs yang dianggap bagian dari latihan. Irregular kemudian menyebut nama fiktif itu cocok dengan domain nyata, tetapi tidak menemukan bukti sistem pelanggan dibobol atau data bocor.^{[2], [1], [3]}

Langkah 4

Pembatasan dan pengungkapan

Irregular menyatakan masalah lingkungan evaluasi telah diperbaiki sebelum laporan publiknya pada 14 Agustus dan pihak terdampak telah diberi tahu. The Wall Street Journal melaporkan konfirmasi Google pada September setelah mengajukan pertanyaan. Informasi yang tersedia tidak membuktikan data pelanggan diperoleh.^{[2], [1]}

Kode Sumber: Rentan vs Aman

Konfigurasi Kubernetes ilustratif, bukan konfigurasi Irregular atau Google. Konfigurasi ini memilih semua pod di agent-eval dan hanya mengizinkan TCP/443 ke pod mock-target berlabel eksplisit; NetworkPolicy memfilter port dan protokol, bukan TLS, jadi layanan tiruan harus dikonfigurasi agar mewajibkan HTTPS. DNS juga hanya diizinkan ke resolver khusus. Jika ingress resolver diisolasi, tambahkan aturan masuk yang sesuai bagi pod evaluasi pada UDP dan TCP port 53. Atur resolver agar hanya melayani zona tiruan internal dan tidak meneruskan kueri sembarang ke internet publik, atau DNS dapat menjadi jalur keluar. Akhiran .test dicadangkan untuk pengujian menurut RFC 2606. Penerapan bergantung pada CNI; keluarkan hostNetwork dan workload node berhak istimewa dari batas evaluasi, lalu verifikasi pemblokiran dengan canary terkendali.^{[4], [5], [1]}

IMPLEMENTASI RENTAN

apiVersion: v1
kind: ConfigMap
metadata:
  name: ctf-scenario
  namespace: agent-eval
data:
  # Gunakan nama host .test yang dicadangkan agar contoh ini tidak menargetkan organisasi nyata.
  target_company: "Example Freight Test Co"
  target_host: "portal.freight.test"
# Tidak ada NetworkPolicy di namespace ini, sehingga pod dapat mengakses internet.

PERBAIKAN AMAN & KUAT

apiVersion: v1
kind: ConfigMap
metadata:
  name: ctf-scenario
  namespace: agent-eval
data:
  target_company: "Example Freight Test Co"
  target_host: "portal.freight.test"
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: eval-egress-allowlist
  namespace: agent-eval
spec:
  podSelector: {}
  policyTypes:
    - Egress
  egress:
    # Beri label lebih dulu pada namespace target dengan purpose=ctf-mock-targets dan pod target dengan app=mock-target.
# Izinkan hanya TCP/443; NetworkPolicy tidak memeriksa TLS atau memaksakan HTTPS.
    - to:
        - namespaceSelector:
            matchLabels:
              purpose: ctf-mock-targets
          podSelector:
            matchLabels:
              app: mock-target
      ports:
        - protocol: TCP
          port: 443
    # Beri label lebih dulu pada namespace resolver khusus dengan purpose=ctf-dns dan pod resolver dengan app=eval-dns.
    # Gunakan resolver khusus yang hanya menjawab zona simulasi internal.
    - to:
        - namespaceSelector:
            matchLabels:
              purpose: ctf-dns
          podSelector:
            matchLabels:
              app: eval-dns
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

Daftar Periksa Penguatan Sistem Rekayasa

✓Terapkan NetworkPolicy yang menolak lalu lintas keluar secara bawaan (atau aturan firewall setara) di setiap namespace evaluasi, dan izinkan hanya namespace target tiruan yang disebut namanya.^{[4], [1]}
✓Sebelum setiap batch, jalankan pod kenari di namespace itu yang mencoba menjangkau alamat eksternal milik Anda; gagalkan batch bila permintaannya berhasil.^[4]
✓Beri setiap target fiktif domain cadangan (.test, .example, .invalid) dan nama perusahaan rekaan; tambahkan pemeriksaan CI yang menolak berkas skenario berisi domain publik yang tampak nyata.^{[5], [1]}
✓Picu peringatan selama eksekusi untuk koneksi keluar dan upaya menebak kredensial pada host di luar skenario; catat percobaan autentikasi tanpa menganggap ada yang berhasil.^{[2], [1]}
✓Cantumkan tenggat pemberitahuan dan pengungkapan publik dalam kontrak dengan mitra evaluasi, agar insiden di pihak mitra cepat sampai kepada Anda dan pihak terdampak.