El modelo de Google terminó interactuando con sistemas de empresas reales durante una evaluación ofensiva de Irregular. El origen fue un fallo de diseño: una compañía ficticia del ejercicio coincidía con un dominio existente y el entorno permitía acceso a internet.
Un modelo de Google Gemini consiguió acceder a sistemas pertenecientes a empresas reales durante una evaluación de ciberseguridad realizada en mayo de 2026 por la firma especializada Irregular.
El incidente no comenzó como un ataque deliberado contra compañías externas. La prueba estaba diseñada para simular una operación ofensiva contra una empresa ficticia, pero el nombre elegido para ese objetivo coincidió accidentalmente con un dominio real existente en internet. Como el entorno de evaluación tenía conectividad externa, algunos modelos interpretaron ese dominio como parte del ejercicio.
En el caso atribuido a Gemini, el modelo logró acceder a sistemas protegidos mediante credenciales expuestas públicamente y, en otro escenario, mediante intentos reiterados contra una contraseña. Cuando detectó que había alcanzado sistemas reales, interrumpió la actividad, según la información publicada por The Wall Street Journal.
Un nombre ficticio coincidió con una empresa real
Irregular diseñó la evaluación para comprobar si un modelo avanzado podía ayudar a un supuesto empleado malicioso a obtener acceso no autorizado a información sensible.
El escenario incluía objetivos, direcciones internas y una compañía inventada.
El problema fue que ese nombre ficticio coincidía con un dominio real que había pasado inadvertido durante las comprobaciones iniciales.
Según la propia Irregular, la enorme mayoría de las ejecuciones permanecieron dentro del entorno simulado.
Solo en un número reducido de casos los modelos intentaron interactuar con el dominio externo.
Gemini terminó entrando en sistemas protegidos
The Wall Street Journal informa de que Gemini consiguió acceder a sistemas de tres compañías reales durante las evaluaciones.
En uno de los casos, el modelo logró entrar tras probar repetidamente credenciales contra un sistema protegido.
En otros dos, localizó credenciales publicadas en repositorios accesibles públicamente y las utilizó para conseguir acceso.
No se han identificado públicamente las empresas afectadas.
Google fue notificada por Irregular en julio de 2026.
Gemini se detuvo al detectar que el objetivo era real
Este punto diferencia el episodio de otros incidentes recientes protagonizados por agentes de IA durante pruebas de seguridad.
Según Google, Gemini dejó de continuar la intrusión cuando sus mecanismos de seguridad detectaron que estaba actuando fuera del entorno previsto.
La vicepresidenta de ingeniería de seguridad de Google, Heather Adkins, declaró a The Wall Street Journal que el episodio demuestra la importancia de entrenar a estos sistemas para comportarse de forma responsable y añadió que, en este caso, el modelo actuó correctamente al detenerse.
Google no considera por tanto que el episodio constituya un caso de desalineamiento del modelo.
Irregular asume el error del entorno de pruebas
Irregular publicó en agosto un análisis en el que atribuye el problema principalmente a la configuración de su propia infraestructura de evaluación.
La compañía reconoce que el nombre utilizado para la empresa ficticia no había sido suficientemente verificado y que la conectividad con internet permitió que algunos modelos abandonaran involuntariamente el escenario controlado.
La empresa sostiene además que todas las divulgaciones posteriores relacionadas con este problema derivan de un mismo incidente subyacente y no de múltiples fallos independientes.
También asegura que el problema fue corregido antes de hacerse público.
No hay pruebas de robo de datos de clientes
Irregular afirma que no tiene evidencias de que sistemas de sus propios clientes fueran comprometidos ni de que se filtraran datos de clientes.
El incidente se produjo durante una evaluación y afectó a infraestructuras externas que los modelos confundieron con parte del ejercicio.
Esto no elimina la gravedad del fallo de contención, pero sí diferencia el caso de una campaña criminal real.
Tampoco existe información pública que indique que Gemini extrajera información sensible de las empresas alcanzadas una vez detectado que los sistemas eran reales.
La prueba medía capacidades ofensivas reales
Irregular se especializa precisamente en evaluar hasta dónde pueden llegar los modelos avanzados en operaciones de ciberseguridad.
Su plataforma mide capacidades como reconocimiento, explotación de vulnerabilidades, uso de herramientas, movimiento dentro de sistemas y seguridad operacional.
La empresa también ha desarrollado FrontierCyber, un benchmark que expone a modelos de IA a sistemas reales y configuraciones de producción sin vulnerabilidades artificialmente introducidas.
El objetivo es conocer qué pueden hacer realmente los modelos más avanzados antes de desplegarlos de forma masiva.
El problema no demuestra una capacidad excepcional de Gemini
Irregular introduce otro matiz importante.
La compañía sostiene que el dominio real alcanzado carecía de varias prácticas básicas de seguridad, por lo que muchos modelos frontera habrían podido encontrar vías de acceso similares.
Por eso considera que el incidente no demuestra necesariamente una capacidad extraordinaria o exclusiva de Gemini.
La preocupación está en otro punto: los modelos ya son suficientemente capaces como para que un pequeño error de aislamiento en una evaluación pueda tener consecuencias fuera del laboratorio.
Las IA avanzadas empiezan a cruzar los límites del laboratorio
Este no es un caso aislado en la industria.
Durante 2026 se han conocido episodios similares durante evaluaciones realizadas con modelos de OpenAI y Anthropic, algunos de ellos también vinculados con accesos no previstos a sistemas externos.
La coincidencia de estos incidentes está aumentando la presión sobre los grandes laboratorios para reforzar los mecanismos de aislamiento.
El problema ya no consiste únicamente en impedir que un modelo genere código peligroso.
También hay que controlar qué herramientas puede utilizar, qué redes puede alcanzar y cuándo debe detener una acción.
El acceso a internet se convierte en un punto crítico
Irregular considera que uno de los principales debates pendientes es precisamente el acceso a internet durante las evaluaciones avanzadas.
Los ejercicios más realistas necesitan interactuar con servicios externos, repositorios, redes y aplicaciones similares a las que existen en producción.
Pero esa misma conectividad aumenta el riesgo de que un modelo confunda un objetivo simulado con uno real.
La empresa propone desarrollar normas más estrictas sobre aislamiento, validación de dominios, monitorización y contención antes de realizar nuevas evaluaciones.
Google lleva meses alertando sobre el riesgo del hacking autónomo
La paradoja es que la propia Google ya venía advirtiendo de este escenario.
Heather Adkins había señalado a comienzos de 2026 que los modelos capaces de ejecutar tareas de ciberseguridad de manera cada vez más autónoma iban a modificar profundamente el equilibrio entre atacantes y defensores.
El caso de Gemini ilustra precisamente ese problema.
Una configuración imperfecta, combinada con un agente capaz de ejecutar tareas durante cientos de pasos, puede terminar produciendo acciones fuera del perímetro previsto.
La gran lección: el problema también está en el entorno
El episodio no apunta únicamente a los modelos.
También pone bajo presión la forma en la que las empresas los evalúan.
Un agente puede disponer de salvaguardas internas y aun así provocar efectos no deseados si recibe acceso a internet, herramientas potentes y un entorno mal delimitado.
Irregular reconoce que el nombre del objetivo debería haberse revisado de forma periódica para comprobar que no coincidía con nuevos dominios reales.
La compañía ya ha introducido cambios para evitar que vuelva a ocurrir.
Gemini no “se rebeló”, pero el incidente sigue siendo relevante
La interpretación más precisa del episodio está lejos de una narrativa de “IA fuera de control”.
Gemini no seleccionó una empresa real de forma autónoma ni decidió atacar internet por iniciativa propia.
El modelo estaba ejecutando una tarea ofensiva dentro de una evaluación, recibió acceso a internet y terminó interactuando con un dominio real debido a un error humano en la configuración.
Cuando sus mecanismos de seguridad detectaron el problema, detuvo la actividad.
Eso reduce el componente de desalineamiento, pero no elimina el riesgo técnico.
El caso demuestra que los modelos frontera ya tienen capacidad suficiente para convertir errores aparentemente menores de diseño en incidentes de seguridad reales.
Y esa es probablemente la conclusión más importante para Google, Irregular y el resto de la industria: cuanto más capaces sean los agentes de IA, más estrictos tendrán que ser los límites de los entornos en los que se les permite operar.
