Fehlkonfiguration im Test: Gemini greift auf drei echte Firmen zu

Googles KI-Modell Gemini hat im Mai 2026 während eines Sicherheitstests des Anbieters Irregular auf geschützte Dienste und Websites dreier realer Unternehmen zugegriffen. Eigentlich sollte die KI in einer abgeschotteten Umgebung Informationen aus den Systemen einer fiktiven Firma beschaffen – doch wegen einer fehlerhaften Konfiguration stand ihr das Internet offen. Google bestätigte die Vorfälle, nachdem das Wall Street Journal am Freitag, dem 18. September, darüber berichtet hatte.

Die Namen der betroffenen Unternehmen wurden nicht öffentlich genannt. Nach Angaben von Google entstanden keine Schäden.

Konkret handelte es sich um eine sogenannte Capture-the-Flag-Übung auf der Infrastruktur von Irregular. Bei solchen Tests geht es darum, Schwachstellen aufzuspüren und zuvor platzierte Informationen – die „Flags“ – aus einem kontrollierten Zielsystem zu extrahieren. Gemini hatte den Auftrag, Daten aus der Software einer fiktiven Firma abzurufen. Das Testsystem erlaubte dem Modell dabei jedoch unbeabsichtigt den Zugriff auf reale Internetdienste.

Passwortsuche führt zu realen Systemen

In einem Fall trug die fiktive Firma denselben Namen wie ein tatsächlich existierendes Unternehmen. Gemini probierte Passwörter durch, bis es Zugang zu einem geschützten Dienst der realen Firma erhielt. Bei den beiden anderen Fällen stieß das Modell bei Websuchen auf Zugangsdaten in öffentlich zugänglichen Repositorys – und nutzte sie, um auf weitere geschützte Systeme zuzugreifen.

Die bislang veröffentlichten Angaben deuten nicht darauf hin, dass Gemini eine technische Grenze der Testumgebung durch eine neuartige Schwachstelle überwunden hätte. Der Internetzugang stand dem Modell schlicht aufgrund eines Konfigurationsfehlers zur Verfügung. Auch die anschließenden Zugriffe beruhten auf vergleichsweise simplen Methoden: Passwörter erraten und offengelegte Zugangsdaten verwenden.

Google betont, Gemini habe die Aktivitäten jeweils beendet, sobald es erkannt habe, dass die Systeme zu realen Unternehmen gehörten. Der Konzern habe die drei betroffenen Unternehmen informiert und gemeinsam mit Irregular Änderungen an den Testverfahren vorgenommen, erklärte Heather Adkins, Googles Vice President of Security Engineering. Welche Daten das Modell während der Zugriffe einsehen konnte und wie lange es mit den fremden Systemen verbunden war, geht aus den öffentlich zugänglichen Berichten nicht hervor.

Google sah zunächst keinen Grund für Veröffentlichung

Irregular informierte Google und andere betroffene KI-Anbieter nach eigenen Angaben Ende Juli über die Probleme. Sämtliche bekannten Fehler aufseiten des Testunternehmens seien bereits vor mehreren Wochen behoben worden. Google veröffentlichte zunächst keine Informationen über die Zugriffe – mit der Begründung, Gemini habe keine Schäden verursacht und nach dem Erkennen der realen Ziele selbstständig gestoppt. Das Verhalten sei deshalb keine Fehlanpassung des Modells gewesen.

Die Entscheidung gegen eine frühere öffentliche Mitteilung stößt auf Kritik. Jack Cable, CEO des KI-Sicherheitsunternehmens Corridor, hält es laut Wall Street Journal für unzureichend, den Umgang mit dem Vorfall an den Gepflogenheiten klassischer Schwachstellenmeldungen auszurichten. Vorfälle, bei denen KI-Modelle außerhalb der vorgesehenen Grenzen reale Systeme angreifen, seien ein davon zu unterscheidendes Problem.

Welche Gemini-Version an dem Test beteiligt war, teilte Google nicht mit. Nach Angaben gegenüber dem Wall Street Journal handelte es sich nicht um das jüngste Modell des Konzerns. Wie sich aktuellere Gemini-Ausführungen unter vergleichbaren Bedingungen verhalten würden, lässt sich daraus also nicht ableiten.

Ähnliche Vorfälle bei mehreren KI-Anbietern

Irregular prüft nach eigener Darstellung die Sicherheit leistungsfähiger KI-Systeme und bezeichnet dieses Arbeitsgebiet als „Frontier AI Security“. Das Unternehmen hat bereits über frühere Arbeiten und eine Capture-the-Flag-Demonstration im Umfeld der IT-Sicherheitskonferenz BlueHat berichtet, wie Microsoft in einem YouTube-Video zeigt.

Vergleichbare Zwischenfälle bei von Irregular durchgeführten Tests wurden zuvor im Zusammenhang mit Modellen von OpenAI, Anthropic und Meta bekannt. Irregular erklärte, die Vorfälle gingen auf dasselbe grundlegende Problem der Evaluierungsumgebung zurück. Meta stellte im August klar, der sein Modell betreffende Vorfall habe weder einen Sandbox-Ausbruch noch einen technisch anspruchsvollen Cyberangriff umfasst.

Die Unterscheidung ist technisch relevant. Ein KI-Modell, das eine korrekt eingerichtete Isolation selbstständig überwindet, wäre grundlegend anders zu bewerten als ein Agent, dem die Testumgebung versehentlich Zugriff auf externe Dienste gewährt. Der Gemini-Fall zeigt dennoch ein konkretes Sicherheitsproblem: Sobald ein Modell über Browser, Kommandozeile oder andere Werkzeuge eigenständig handeln kann, genügen Fehler in der Infrastruktur, damit eine simulierte Aufgabe reale Folgen hat.

Eine sichere Testumgebung darf sich nicht darauf verlassen, dass das Modell selbst erkennt, ob ein Ziel zulässig ist. Erforderlich sind technische Begrenzungen wie standardmäßig gesperrte ausgehende Verbindungen, eng gefasste Positivlisten für erreichbare Systeme, eindeutig künstliche Domains und Zugangsdaten sowie eine laufende Überwachung aller Aktionen. Dass Gemini laut Google von sich aus stoppte, ist eine zusätzliche Schutzschicht – ersetzt solche Kontrollen aber nicht.

Google baut Cyberfähigkeiten von Gemini aus

Der Vorfall fällt in eine Phase, in der Google die Cybersecurity-Fähigkeiten seiner KI gezielt erweitert. Mit Gemini 3.8 Flash Cyber hat das Unternehmen eine speziell für Schwachstellenerkennung und automatisierte Fehlerbehebung vorgesehene Modellvariante angekündigt. Sie wird zunächst ausgewählten vertrauenswürdigen Testern über das Fairwind-Programm angeboten. Die Google Threat Intelligence Group veröffentlicht darüber hinaus eigene Analysen zur Rolle von KI bei Cyberoperationen.

Solche Systeme können Sicherheitsfachleute bei der Suche nach Schwachstellen, der Analyse von Schadsoftware und der Bearbeitung umfangreicher Sicherheits- und Protokolldaten unterstützen. Dieselben technischen Fähigkeiten lassen sich jedoch auch für unbefugte Zugriffe einsetzen.

Der Gemini-Fall liefert keinen Beleg dafür, dass das Modell absichtlich gegen die Interessen seiner Betreiber handelte. Er zeigt aber anschaulich, wie ein autonomer Agent ein vorgegebenes Ziel mit realen Werkzeugen weiterverfolgt, sobald die technische Begrenzung seiner Umgebung versagt.