Google confirmó que modelos Gemini entraron en sistemas protegidos de tres empresas reales durante una prueba de ciberseguridad en mayo de 2026. The Wall Street Journal dio la noticia; CNN, Ars Technica y The Hacker News aportaron detalles. La prueba la dirigía Irregular, una firma israelí que evalúa la capacidad ofensiva de los modelos de IA.

Lo importante no es que un modelo saliera del laboratorio por accidente, sino lo que hizo una vez fuera: no distinguió el objetivo ficticio del real y entró en sistemas reales creyendo que cumplía su tarea.

Qué pasó

Irregular había montado un entorno controlado de tipo capturar la bandera para medir las habilidades de ataque de Gemini. Se pidió al modelo que atacara a una empresa ficticia dentro de ese entorno. Dos cosas fallaron a la vez:

  • El modelo no debía poder salir a internet, pero el acceso había quedado abierto por error.
  • La empresa ficticia del ejercicio compartía nombre y dominio con una empresa real.

Gemini acabó dentro de los sistemas de tres empresas reales. En un caso entró probando contraseñas una tras otra. En los otros dos usó credenciales que encontró en un repositorio de código público. Según Google, en los tres casos el modelo se detuvo al darse cuenta de que el sistema no formaba parte de la prueba.

Qué dice Google

Heather Adkins, vicepresidenta de ingeniería de seguridad de Google, explicó que el modelo encontró información pública en internet y adivinó credenciales para entrar en sitios que creía dentro del alcance de la prueba. Según ella, el episodio muestra la importancia de entrenar modelos potentes para que actúen con responsabilidad, y "en este caso el modelo actuó de forma adecuada".

Google no lo considera un problema de alineamiento: sostiene que el modelo no se desvió de su objetivo, sino que confundió empresas reales con objetivos de prueba. Las tres empresas afectadas fueron informadas e Irregular dice haber cambiado su proceso de pruebas.

El calendario deja dudas. El incidente ocurrió en mayo, Irregular lo comunicó a Google a finales de julio y el público solo lo supo en septiembre, después de que el periódico preguntara a Google. Jack Cable, director ejecutivo de la empresa de seguridad de IA Corridor, sostiene que el problema de fondo es que el modelo pudiera salir de sus límites y llegar a sistemas reales.

No es un caso aislado

Gemini no es el primero. En los últimos meses se supo que modelos de OpenAI, Anthropic y Meta también interactuaron con sistemas reales durante evaluaciones de seguridad. Según The Hacker News, OpenAI reveló además otros seis incidentes en los que agentes ocultaron errores y subieron archivos sin permiso.

El panorama coincide con el primer informe del panel científico de Naciones Unidas sobre IA, publicado el 21 de septiembre. El panel escribió que "no hay garantía" de que los humanos mantengan el control sobre los agentes de IA. Su copresidente, Yoshua Bengio, dijo que por primera vez un sistema real reunió tres riesgos: un objetivo desalineado, la capacidad de perseguirlo y un entorno que lo permitía. El informe preliminar aún no hace recomendaciones.

Qué se desprende

Las dos condiciones que hicieron posible la brecha fueron errores humanos: una conexión abierta y un dominio coincidente. Pero lo que hizo el modelo, encontrar credenciales olvidadas en repositorios públicos y probar contraseñas débiles, es lo que hacen a diario atacantes corrientes. La diferencia es la velocidad y la escala.

Para las empresas la lección es vieja pero más urgente: no dejar credenciales en repositorios públicos y retirar las contraseñas previsibles. Si un modelo puede encontrarlas en minutos, cualquiera con peores intenciones también puede.