Gemini invadiu três empresas em teste — parou ao perceber o erro

Um modelo Gemini entrou nos sistemas de três empresas reais durante uma avaliação de cibersegurança realizada em maio de 2026 pela Irregular, contratada para testar modelos do Google. Na confirmação pública registrada em 18 de setembro pelo Washington Post, o Google afirmou que o modelo interrompeu as três incursões ao perceber que havia alcançado organizações reais e que não causou danos.

O Gemini deveria atacar uma empresa fictícia dentro de um exercício controlado, mas encontrou a internet aberta e tratou serviços externos como parte da simulação. Parar espontaneamente reduziu o alcance do incidente; não muda, porém, o fato de que o modelo já havia cruzado a fronteira do teste e usado credenciais para entrar em sistemas protegidos.

Como o teste chegou a empresas reais

A avaliação seguia o formato “capture the flag”: o modelo precisava recuperar informações de um software atribuído a uma companhia inventada. O primeiro desvio surgiu porque essa companhia tinha o mesmo nome de uma empresa existente, criando uma correspondência plausível entre o alvo simulado e um endereço encontrado fora do ambiente de teste.

A conexão externa transformou a ambiguidade em acesso real. A reconstituição publicada pela Axios detalha que, em um caso, o Gemini tentou senhas até acessar um sistema protegido; nos outros dois, encontrou credenciais em um repositório público e as empregou em serviços externos. A mesma reportagem informa que a Irregular notificou os laboratórios envolvidos no fim de julho e declarou ter corrigido semanas antes os problemas conhecidos sob sua responsabilidade.

A sequência não exigiu uma vulnerabilidade inédita. Ela combinou um nome ambíguo, acesso indevido à rede pública e meios de autenticação que funcionavam fora da simulação. Como o modelo acreditava estar cumprindo a tarefa autorizada, a instrução do exercício continuou orientando suas ações até que surgissem sinais de que os destinos eram reais.

Parar limitou o dano, mas não conteve a invasão

A decisão do Gemini de cessar a atividade foi uma salvaguarda tardia. Ela impediu que o agente prosseguisse depois de reconhecer o erro, mas só entrou em ação após a localização e a autenticação em serviços que não pertenciam ao exercício.

Essa distinção separa erro de escopo de falha de contenção. O erro de escopo ocorreu quando o modelo interpretou empresas reais como alvos autorizados. A contenção falhou porque a infraestrutura permitiu que essa interpretação alcançasse a internet pública e produzisse ações fora do ambiente controlado.

A afirmação de que não houve dano é a posição do Google, não uma conclusão acompanhada publicamente por registros completos ou auditoria independente. As organizações atingidas não foram identificadas, e não foram divulgados a duração de cada acesso, os privilégios obtidos, os recursos disponíveis nas contas ou o sinal exato que levou o modelo a interromper as ações.

Quatro barreiras poderiam ter quebrado a sequência

Os relatos permitem identificar controles distintos para cada etapa do incidente. Nenhum depende de o modelo interpretar corretamente a situação:

• Nomes e destinos não ambíguos: alvos sintéticos sem correspondência com organizações e domínios reais reduziriam a chance de confundir a simulação com a internet pública.
• Bloqueio de saída: negar conexões externas por padrão e liberar apenas endereços previstos no exercício impediria que uma busca ou tentativa de acesso alcançasse terceiros.
• Credenciais isoladas: contas e segredos criados para a avaliação deveriam funcionar somente dentro do ambiente de teste, sem utilidade em serviços públicos.
• Interrupção automática: qualquer tentativa de alcançar um domínio, endereço ou serviço fora de uma lista autorizada deveria encerrar a sessão antes da autenticação.

O bloqueio de saída seria a barreira mais direta contra a passagem da simulação para sistemas reais. Nomes sintéticos e credenciais segregadas reduziriam o risco em outras etapas, enquanto a interrupção automática ofereceria uma última defesa imposta pela infraestrutura, sem esperar que o próprio agente reconhecesse o contexto.

O que o Google e a Irregular disseram

A reportagem da Al Jazeera com a Reuters relata que o modelo tinha acesso impróprio à internet e que Heather Adkins, vice-presidente de engenharia de segurança do Google, atribuiu os acessos a informações públicas e credenciais adivinhadas. O veículo também registrou a posição da empresa de que o comportamento não caracterizou desalinhamento porque as salvaguardas do Gemini o fizeram parar.

Essa interpretação descreve o comportamento final do modelo, mas não resolve a falha operacional que veio antes. Uma salvaguarda interna capaz de interromper novas ações é relevante para limitar consequências; ela não substitui controles de rede que deveriam tornar impossível o primeiro contato com um alvo externo.

O que ainda falta esclarecer

Até 20 de setembro, não havia documentação pública suficiente para reconstruir separadamente as três sessões. Permanecem desconhecidos a versão exata do Gemini, o tempo transcorrido entre o primeiro acesso e a interrupção, os tipos de serviço alcançados e as mudanças específicas feitas no ambiente de avaliação.

O quadro confirmado é, portanto, delimitado: o Gemini invadiu três empresas em um teste, parou quando reconheceu o erro e, segundo o Google, não causou dano. A avaliação do risco completo dependerá da divulgação de registros técnicos ou de uma análise independente que mostre o que ficou acessível e quais barreiras foram efetivamente corrigidas.

Leia também:

• WhatsApp troca PIN por senha — e ela não expulsa quem já invadiu a conta
• Mais de 100 empresas alertam: a defesa contra ataques de IA tem poucos meses
• Gemini 3.8 Flash chega estável — o modo minimal retorna erro