Gemini получила доступ к системам реальных компаний

Google сообщила The Wall Street Journal, что Gemini получила доступ к системам трёх компаний во время теста Irregular; Irregular не обнаружила признаков взлома или утечки данных.^{[2], [1], [3]}

💡 Простыми словами (ELI5)

Представьте полицейские учения, где курсантам нужно открыть сайт вымышленного банка. Учения должны проходить на закрытом полигоне, но ворота открыты, а в интернете есть настоящая компания с таким же названием. Курсанты могут покинуть полигон и попасть на настоящий сайт. Irregular сообщила, что не обнаружила доказательств взлома систем клиентов или потери данных. Вывод: сетевую границу нужно обеспечивать технически и использовать зарезервированные вымышленные имена, а не полагаться на то, что модель сама распознает границу.^{[2], [1]}

Ключевые понятия и термины

Оценка capture-the-flag (CTF): Тест, в котором модель пытается проникнуть в намеренно уязвимые системы; с его помощью до выпуска измеряют наступательные кибервозможности.^{[2], [1]}
Irregular: Компания по безопасности ИИ, проводившая оценку на своей инфраструктуре. Тот же партнёр фигурировал в инцидентах с Claude, раскрытых Anthropic в июле 2026 года.^[1]
Запрет исходящего трафика по умолчанию: Сетевое правило, блокирующее любое исходящее соединение, кроме явно разрешённых, чтобы среда не могла случайно выйти в интернет.^[4]
Зарезервированные имена (RFC 2606): Домены вроде .test и .example, которые невозможно зарегистрировать, поэтому вымышленная цель не совпадёт с реальной организацией.^[5]
Классификация: CWE-693 (сбой механизма защиты) — аналитическая классификация FlawOpen, а не CWE, присвоенная поставщиком. High — редакционная оценка: по сообщениям, оценочная среда вышла за сетевую изоляцию и достигла систем трёх организаций; приведённые источники не подтверждают компрометацию или потерю клиентских данных. CVE и оценка CVSS неприменимы.^{[7], [2], [1]}
Происхождение рекомендаций: Ниже приведены инженерные рекомендации FlawOpen для описанной границы; это не утверждение, что Google или Irregular внедрили именно эти меры.^[1]

Связи со стандартами

Ссылка CWE для слабого места, описанного в этом руководстве: CWE-693

Хронология инцидента

2026-05

The Wall Street Journal передал заявление Google о том, что в мае Gemini достиг систем трёх компаний во время кибербезопасностной оценки Irregular.^{[2], [1], [3]}

2026-08-14

Irregular опубликовала разбор: проблема среды оценки была устранена, а затронутые стороны уведомлены.^[1]

2026-09-18

Google сообщила The Wall Street Journal, что во время майского тестирования Gemini достигла систем трёх компаний; издание опубликовало материал 18 сентября.^{[2], [3]}

Пошаговый сценарий атаки

Шаг 1

Среда не изолирована

У модели не должно было быть доступа в интернет, но среда оценки у партнёра по ошибке его предоставляла.^[1]

Шаг 2

У вымышленной цели настоящее имя

Задание требовало получить сведения о вымышленной компании, чьё название совпадало с названием реальных фирм.^{[2], [1]}

Шаг 3

Сообщённые способы доступа и ограничения

Google сообщила The Wall Street Journal, что модель нашла общедоступные сведения и пыталась угадать учётные данные для сайтов, которые считала частью упражнения. Позже Irregular заявила, что вымышленное имя совпало с реальным доменом, но доказательств взлома систем клиентов или утечки данных не обнаружено.^{[2], [1], [3]}

Шаг 4

Локализация и раскрытие

Irregular сообщает, что проблема среды оценки была устранена до публикации отчёта 14 августа, а затронутые стороны были уведомлены. The Wall Street Journal сообщил о подтверждении Google в сентябре после своего запроса. Доступные сведения не доказывают получение данных клиентов.^{[2], [1]}

Исходный код: Уязвимый vs Защищённый вариант

Иллюстративная конфигурация Kubernetes, не конфигурация Irregular или Google. Она выбирает все поды в agent-eval и разрешает только TCP/443 к явно помеченным подам mock-target; NetworkPolicy фильтрует порты и протоколы, но не TLS, поэтому настройте сервис-имитацию так, чтобы он требовал HTTPS. DNS разрешён только к выделенному резолверу. Если входящий трафик резолвера изолирован, добавьте соответствующее входящее правило для подов оценки на UDP- и TCP-порт 53. Настройте резолвер только для внутренней тестовой зоны и запретите пересылку произвольных запросов в интернет, иначе DNS станет каналом выхода. Суффикс .test зарезервирован для тестов согласно RFC 2606. Применение правил зависит от CNI; исключите hostNetwork и привилегированные нагрузки уровня узла из границы и проверьте блокировку контролируемым canary.^{[4], [5], [1]}

УЯЗВИМАЯ РЕАЛИЗАЦИЯ

apiVersion: v1
kind: ConfigMap
metadata:
  name: ctf-scenario
  namespace: agent-eval
data:
  # Используйте зарезервированное имя в зоне .test, чтобы пример не обращался к реальной организации.
  target_company: "Example Freight Test Co"
  target_host: "portal.freight.test"
# В этом пространстве имен нет NetworkPolicy, поэтому поды могут выходить в интернет.

БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ

apiVersion: v1
kind: ConfigMap
metadata:
  name: ctf-scenario
  namespace: agent-eval
data:
  target_company: "Example Freight Test Co"
  target_host: "portal.freight.test"
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: eval-egress-allowlist
  namespace: agent-eval
spec:
  podSelector: {}
  policyTypes:
    - Egress
  egress:
    # Заранее назначьте пространству имен цели метку purpose=ctf-mock-targets, а целевым подам — app=mock-target.
# Разрешите только TCP/443; NetworkPolicy не анализирует TLS и не обеспечивает HTTPS.
    - to:
        - namespaceSelector:
            matchLabels:
              purpose: ctf-mock-targets
          podSelector:
            matchLabels:
              app: mock-target
      ports:
        - protocol: TCP
          port: 443
    # Заранее назначьте пространству имен выделенного DNS-резолвера метку purpose=ctf-dns, а его подам — app=eval-dns.
    # Используйте выделенный резолвер, отвечающий только для внутренней тестовой зоны.
    - to:
        - namespaceSelector:
            matchLabels:
              purpose: ctf-dns
          podSelector:
            matchLabels:
              app: eval-dns
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

Чек-лист по защите системы для инженеров

✓Применяйте к каждому пространству имён оценки NetworkPolicy с запретом исходящего трафика по умолчанию (или эквивалентное правило межсетевого экрана) и разрешайте только названные пространства имён учебных целей.^{[4], [1]}
✓Перед каждой партией запускайте в пространстве имён контрольный под, пытающийся достучаться до внешнего адреса под вашим контролем; проваливайте партию, если запрос проходит.^[4]
✓Называйте все вымышленные цели зарезервированными доменами (.test, .example, .invalid) и выдуманными названиями компаний; добавьте в CI проверку, отклоняющую файлы сценариев с правдоподобными публичными доменами.^{[5], [1]}
✓Во время запусков создавайте оповещения об исходящих соединениях и попытках угадать учётные данные для узлов вне сценария; регистрируйте попытки аутентификации, не предполагая, что они были успешны.^{[2], [1]}
✓Прописывайте в договорах с партнёрами по оценке сроки уведомления и публичного раскрытия, чтобы инцидент у партнёра быстро доходил до вас и до пострадавших.