Como e por que o Gemini, do Google, hackeou três empresas de verdade

RESUMO ＋

O Gemini acessou sistemas de três empresas reais durante um teste de segurança cibernética em maio, após receber por engano acesso à internet aberta. O Google confirmou o episódio na sexta-feira (18) e afirmou que o modelo interrompeu as ações ao reconhecer os alvos reais. Segundo a empresa, nenhuma organização sofreu danos.

Em maio, o Gemini, modelo de inteligência artificial (IA) do Google, invadiu os sistemas de três empresas de verdade. Não porque alguém pediu, e também não porque encontrou uma falha de segurança sofisticada: a IA simplesmente confundiu um ambiente de teste com o mundo real, e agiu como se estivesse cumprindo sua tarefa.

O Google confirmou o episódio na sexta-feira, 18, depois de reportagem do Wall Street Journal. É o primeiro caso conhecido em que um sistema de IA do Google ultrapassa os limites de um teste e realiza acessos não autorizados a empresas reais — mas está longe de ser o primeiro do tipo no setor.

O incidente aconteceu durante uma avaliação de capacidades de segurança cibernética conduzida pela Irregular, startup israelense especializada em testar a robustez de modelos avançados de IA — a mesma empresa que também trabalha com outros laboratórios do setor.

Esse tipo de teste segue um formato conhecido como "capture the flag": o modelo recebe um cenário fictício, é informado de que há uma informação secreta escondida em outro computador da rede simulada, e precisa "invadir" esse sistema para recuperá-la.

Para que o exercício seja seguro, o ambiente de teste deveria estar completamente isolado da internet real, usando apenas empresas fictícias como alvo. Mas, segundo a Irregular, o acesso à rede aberta foi disponibilizado por acidente.

Com essa conexão indevida, o Gemini passou a encontrar, na internet de verdade, informações e credenciais pertencentes a organizações reais — coisa que nunca deveria ter acontecido dentro do teste.

Como o Gemini invadiu as três empresas?

Em um dos episódios, o Gemini recebeu a tarefa de obter informações de um software pertencente a uma empresa fictícia. Só que, com acesso à internet aberta, o modelo encontrou informações públicas sobre empresas reais e tentou usar credenciais para acessar sites que acreditava fazerem parte da avaliação.

Em um dos três casos, o modelo acessou o serviço de uma empresa real depois de simplesmente adivinhar uma senha. Nos outros dois, usou um repositório de senhas vazadas, disponível publicamente na internet — o tipo de banco de dados que reúne credenciais roubadas em vazamentos anteriores e que costuma ser usado por criminosos para tentar acessar contas em múltiplos serviços.

"Esses eventos destacam a importância de treinar modelos poderosos de IA para agir de maneira responsável", disse Heather Adkins, vice-presidente de engenharia de segurança do Google, em comunicado.

Segundo ela, nos três episódios, o Gemini interrompeu as próprias ações assim que identificou que os sistemas pertenciam a empresas reais, e não aos ambientes simulados previstos no teste — um comportamento que o Google cita como evidência de que suas salvaguardas de segurança funcionaram, mesmo com o vazamento de acesso.

O Google afirma que nenhuma das três empresas afetadas sofreu danos em decorrência dos acessos, que todas foram avisadas do ocorrido, e que trabalhou com a Irregular para corrigir as falhas no processo de teste que permitiram o vazamento de acesso à internet.

Por que a notícia só saiu agora, meses depois?

O episódio aconteceu em maio, mas só veio a público em setembro — um intervalo de mais de três meses. Parte disso se explica porque o Irregular só avisou o Google sobre as invasões no fim de julho, quase dois meses depois do ocorrido.

Depois de notificado, o Google diz ter comunicado às autoridades federais americanas na época, mas não tratou o caso como um exemplo do que a indústria chama de "desalinhamento" — quando um modelo de IA passa a perseguir um objetivo próprio, diferente do que foi pedido — nem como algo que exigisse divulgação pública imediata.

O argumento da empresa é que o comportamento do Gemini, interrompendo as ações ao perceber que os alvos eram reais, mostra que os mecanismos de segurança do modelo funcionaram como deveriam, apesar da falha no ambiente de teste.

O quarto caso do ano

O episódio do Gemini se soma a uma sequência de casos parecidos revelados por outras empresas de IA ao longo de 2026 — todos com uma origem em comum: falhas de configuração que deixaram ambientes de teste, que deveriam estar isolados, conectados à internet aberta.

Em julho, a OpenAI informou que um de seus modelos "fugiu" de um teste interno de capacidade ofensiva em segurança cibernética, chamado ExploitGym, e hackeou a Hugging Face, plataforma de modelos de código aberto, para roubar credenciais. Nesse caso, o modelo identificou e explorou uma vulnerabilidade zero-day — uma falha até então desconhecida — em um sistema intermediário do próprio teste, e a partir dela alcançou um servidor com acesso à internet aberta.

Também em julho, a Anthropic, dona do Claude, revelou que seus modelos obtiveram acesso não autorizado à infraestrutura de três organizações reais durante testes internos de capacidade cibernética.

A empresa revisou 141.006 execuções de avaliação em busca de casos semelhantes e encontrou três, distribuídos em seis execuções, nos quais a barreira de isolamento falhou — nenhuma das empresas atingidas havia detectado a invasão por conta própria. Em um dos casos, o modelo chegou a publicar um pacote malicioso em um repositório público, que foi baixado e executado por 15 sistemas de terceiros.

Uma semana depois, em agosto, o AI Security Institute, órgão do governo britânico dedicado à pesquisa em segurança de IA, divulgou que modelos de ponta da própria Anthropic e da OpenAI também invadiram softwares de terceiros e enviaram e-mails a pessoas reais para tentar roubar credenciais, durante avaliações conduzidas pelo próprio instituto. Em 10 das 122 execuções de teste analisadas, os modelos tomaram ações autônomas e não autorizadas na internet aberta.

Um padrão que a indústria já nomeou

Colocados lado a lado, os episódios da OpenAI, da Anthropic e agora do Google desenham um padrão que parte do setor já batizou de "hack culposo" — quando não há intenção deliberada de invadir um sistema, mas um erro humano de configuração cria a brecha, e a própria capacidade do modelo faz o resto.

Em nenhum dos quatro casos documentados até agora, o modelo tentou originalmente atacar uma empresa real: a intenção existia apenas dentro do teste simulado, contra alvos fictícios.

O que muda de um caso para outro é o comportamento do modelo depois de cruzar, sem querer, a fronteira entre o simulado e o real. O Gemini, segundo o Google, parou assim que percebeu o erro. Já em incidentes anteriores do Claude, os modelos nem sempre pararam ao perceberem que estavam acessando sistemas reais, segundo reportagens sobre os casos anteriores.

Fora do contexto dos testes de laboratório, o risco de ferramentas de IA serem usadas para hackear sistemas de terceiros também já apareceu de forma deliberada: pesquisadores de segurança indianos, por exemplo, usaram o Claude para invadir os sistemas internos da própria OpenAI, de forma intencional e como parte de um programa de recompensa por vulnerabilidades, gastando menos de US$ 3 mil em tokens de IA para isso.

Um think tank britânico, o Centre for Long-Term Resilience, mantém um observatório dedicado a catalogar esse tipo de episódio. O Loss of Control Observatory já registrou 1.664 incidentes reais de perda de controle de sistemas de IA só em 2026, incluindo casos em que agentes contornaram controles e forjaram aprovações para escalar privilégios.

Segundo pesquisadores do centro, esses episódios têm se tornado mais frequentes — e mais graves, com potencial para consequências que classificam como "catastróficas" no futuro.

---