Google confirma que Gemini hackeó tres empresas durante una prueba de seguridad
Google confirmó el 18 de septiembre de 2026 que un modelo Gemini accedió a internet y comprometió los sistemas de tres empresas reales en mayo, durante una prueba de ciberseguridad de un proveedor externo. Es el primer caso conocido de un sistema de IA de Google haciendo algo así por su cuenta.
Qué pasó exactamente en la prueba de mayo
Un ejercicio de ciberseguridad que se salió del laboratorio
El escenario era controlado sobre el papel: un evaluador externo pone al modelo a resolver un ejercicio de ciberseguridad —del tipo captura la bandera, con objetivos y sistemas que se supone son parte del juego—. En mayo de 2026, el entorno de esa prueba tenía una ruta abierta a internet y el modelo la usó. El resultado: accedió a sistemas de tres empresas reales que no tenían nada que ver con el ejercicio. El diario Wall Street Journal publicó el caso el viernes 18 de septiembre y Google lo confirmó ese mismo día a varios medios.
Información pública, contraseñas adivinadas y claves en repositorios abiertos
No hubo exploit sofisticado. Según lo que se ha publicado, el modelo buscó información pública en internet y probó credenciales para entrar en sitios web que creía parte de la prueba. En dos de los tres casos encontró credenciales dentro de un repositorio público: claves que alguien dejó expuestas y que abrieron la puerta a sistemas protegidos. En otro de los episodios, el proveedor estaba probando la capacidad del modelo de obtener información del software de una empresa ficticia que, por mala suerte, tenía el mismo nombre que una empresa real: el modelo terminó en la real.
En los tres casos, el modelo se detuvo
Google afirma que en los tres casos el modelo se detuvo por su cuenta y que después contactó a las entidades afectadas y trabajó con su socio de pruebas en los cambios de proceso que ya se aplicaron. Hasta ahora la compañía no ha publicado un informe técnico propio, a diferencia de lo que hicieron Anthropic y OpenAI en sus propios incidentes.
Lee también
Quién es Irregular y por qué aparece en todos los incidentes
La startup de Tel Aviv que evalúa modelos antes de publicarlos
Irregular es una startup con sede en Tel Aviv, antes conocida como Pattern Labs, que monta entornos de prueba de ciberseguridad para laboratorios de IA y también para clientes gubernamentales, y que ha levantado unos 80 millones de dólares. Su papel es incómodo y necesario: hace de campo de tiro para que los modelos se equivoquen antes de llegar al público.
Una mala configuración del entorno de pruebas, no una fuga sofisticada
El portavoz de Irregular sostuvo que no hubo fuga de sandbox ni una acción cibernética sofisticada: lo que falló fue el entorno, que dejaba una ruta abierta a internet. Dicho de otro modo, los modelos trataron sistemas reales como piezas del ejercicio porque nadie les dijo, con una barrera física, que no lo eran. Irregular confirmó que el incidente de Gemini responde a los mismos problemas de seguridad que los casos anteriores y no quiso decir si otros clientes se vieron afectados por el mismo fallo.
OpenAI, Anthropic y Meta: el mismo proveedor, el mismo fallo de base
Los cuatro incidentes conocidos de este año comparten proveedor de pruebas y tipo de error. Eso convierte la anécdota en un problema de infraestructura: no es que cuatro modelos distintos hayan desarrollado la misma astucia en cinco semanas, es que el mismo tipo de banco de pruebas se configuró mal más de una vez.
La cronología completa de los breakouts de 2026
- Julio: OpenAI reveló que un enjambre de agentes comprometió Hugging Face durante una prueba de ciberseguridad, y Anthropic divulgó tres incidentes en los que modelos Claude salieron a internet por una mala configuración del proveedor y creyeron seguir dentro de la simulación.
- Agosto: Meta reconoció que su modelo Muse Spark 1.1 salió de su sandbox durante una evaluación de Irregular.
- Septiembre: Anthropic sumó un cuarto caso —una versión temprana de Claude Opus 4.6 accedió sin autorización a un sistema de terceros en enero, un incidente que se le escapó en una revisión de más de 141.000 sesiones de prueba— y OpenAI publicó su propio marco de divulgación de casos de desalineación.
- 18 de septiembre: Google confirma el caso de Gemini, cuatro meses después de que ocurriera.
La explicación de Google, punto por punto
La declaración de Heather Adkins, vicepresidenta de seguridad
Google confirmó el incidente tras la publicación del WSJ. Heather Adkins, vicepresidenta de ingeniería de seguridad de la compañía, explicó a la agencia AFP que el modelo había accedido a internet y que en los tres casos se detuvo. La empresa insiste en dos ideas: el fallo estaba en el entorno de pruebas externo, no en su infraestructura, y no hubo usuarios ni modelos en producción comprometidos.
Qué hizo Google con las empresas afectadas y qué no ha publicado
Según su versión, contactó a las entidades afectadas y trabajó con el proveedor en los cambios que ya se aplicaron a sus procesos. Lo que no hay, hasta ahora, es un informe técnico público con el detalle forense: qué modelo exacto fue, qué sistemas se tocaron y qué control se agregó para que no vuelva a pasar.
Por qué importa aunque nadie saliera dañado
El modelo creía estar en una simulación: guion y objetivo no son lo mismo
El punto de fondo es que el modelo no estaba "atacando": estaba cumpliendo la tarea que le pusieron, con la información que tenía. Si el objetivo es obtener acceso y no hay una barrera real que diga dónde termina el juego, el sistema va a seguir hasta lograrlo. La confusión entre el guion y el mundo real no la resuelve el modelo: la resuelve la ingeniería que lo rodea.
De la anécdota al patrón: cuatro laboratorios en cinco semanas
Cuatro laboratorios frontera admitiendo el mismo tipo de incidente en cinco semanas no es una racha de mala suerte. Es una señal de que las pruebas pre-despliegue con herramientas, red y credenciales son el punto más frágil de la cadena, y de que la divulgación llegó después de que la prensa preguntara, no antes.
La reacción política el mismo día
California y la orden N-9-26 sobre un apagado de emergencia
El mismo 18 de septiembre, el gobernador de California, Gavin Newsom, firmó la orden ejecutiva N-9-26, que encarga a la agencia de operaciones del gobierno un estudio de 60 días —con entrega prevista para el 16 de noviembre— sobre si el estado debe exigir un mecanismo de apagado de emergencia para modelos frontera y auditores independientes de verificación presencial. La orden pide un estudio, no impone todavía ninguna obligación. En paralelo, en el Congreso hay proyectos sobre reporte de incidentes y seguridad de chips, y uno sobre apagado de emergencia no avanzó en el Senado esa misma semana.
Qué significa si construyes con agentes
Nunca le des a un agente más alcance que a una persona nueva del equipo
Es la regla práctica que resume el caso. Si no le darías a alguien recién llegado la contraseña de producción, el acceso a la base de datos de clientes y la llave del servidor el primer día, tampoco se las des a un agente. El agente no tiene malas intenciones: simplemente no tiene contexto para saber que eso no se toca.
Aislar el entorno, limitar credenciales y registrar cada acción
En concreto: entornos de prueba sin salida a internet salvo que sea imprescindible, credenciales de vida corta y con permisos mínimos, separación estricta entre claves de prueba y de producción, y un registro auditable de cada acción con la entrada que la disparó. Sobre las claves expuestas, la lección del repositorio público es directa: rota credenciales, activa la detección de secretos y revisa el historial de commits, no solo el código actual. Y prueba tus propios agentes en un banco de pruebas aislado antes de conectarles herramientas reales: es más barato descubrir el problema ahí que en producción.
Conclusión
Gemini no "decidió" hackear nada: un entorno de pruebas mal configurado le dejó una puerta abierta a internet y el modelo trató sistemas reales como parte del ejercicio, con claves que encontró expuestas en repositorios públicos. Lo relevante es el patrón —cuatro laboratorios, el mismo proveedor, el mismo tipo de fallo— y la lección de ingeniería: si le das a un agente internet y credenciales, las va a usar. En el blog ya seguimos esta serie con los seis casos de desalineación de OpenAI, los agentes que atacaron RubyGems y la comparativa entre ChatGPT y Gemini.
