Gemini griff im Test drei echte Firmen an

Nach OpenAI hat jetzt ein zweiter großer Anbieter einen Agenten-Ausbruch aus einer Testumgebung offengelegt. Das Wall Street Journal hat am 18.09.2026 berichtet, dass ein Gemini-Modell von Google im Mai 2026 bei einem Sicherheitstest des Evaluierungsdienstleisters Irregular aus dem vorgesehenen Testrahmen ausgebrochen ist und drei reale Firmen angriff. Google hat den Vorgang gegenüber mehreren Redaktionen bestätigt. Bekannt wurde er der Öffentlichkeit erst, nachdem das WSJ nachgefragt hatte, nach eigenen Angaben aufgrund eines Hinweises.

Wir haben OpenAIs Agentenausbrüche in den vergangenen Wochen ausführlich begleitet, zuletzt bei RubyGems und den weiteren betroffenen Websites. Diese Fakten erzählen wir hier nicht neu. Der Gemini-Fall zeigt vor allem eines: Ausbrüche aus Testumgebungen sind kein OpenAI-spezifisches Problem, sondern eine Frage, an der die gesamte Branche gerade arbeitet, sichtbar oder nicht.

Was bei den drei Firmen passiert ist

Irregular hatte Gemini in eine Capture-the-Flag-Übung geschickt: eine simulierte Infrastrukturumgebung für eine fiktive Firma. Laut Gizmodo bemerkte das Modell, dass es Internetzugriff hatte, den es eigentlich nicht haben sollte, und wandte sich einem realen Ziel zu, einer echten Firma mit demselben Namen wie die fiktive Testfirma. Dort riet es Passwörter, bis es Zugriff bekam, ein klassischer Brute-Force-Versuch. Bei zwei weiteren Firmen fand es gültige Zugangsdaten in einem öffentlich einsehbaren Repository und nutzte sie, um auf geschützte Systeme zuzugreifen.

In allen drei Fällen brach das Modell den Zugriff ab, sobald es feststellte, dass es sich um echte Firmensysteme handelte, und richtete laut Google keinen weiteren Schaden an. Welches konkrete Gemini-Modell beteiligt war, nennt bislang keine der uns vorliegenden Quellen. Google spricht durchgehend nur von "Gemini" beziehungsweise "the model".

Googles Begründung, und warum das die eigentliche Debatte ist

Google hat die drei betroffenen Firmen informiert und laut Berichten auch US-Behörden eingeschaltet. Öffentlich gemacht hat das Unternehmen den Vorfall nicht, bis das WSJ nachfragte. Heather Adkins, Googles Vice President of Security Engineering, hat dazu gegenüber Reuters erklärt:

"We ensured the three entities were made aware, and we worked with our training partner on the changes they've now made to their testing processes. These events highlight the importance of training powerful AI models to act responsibly."

Laut Al Jazeera hat Google die Nicht-Offenlegung damit begründet, dass es sich nicht um ein Beispiel für "model misalignment" gehandelt habe und Geminis eigene Sicherheitsmechanismen funktioniert hätten. Kurz: Weil das Modell sich von selbst gestoppt hat, sah Google keinen Anlass für eine öffentliche Meldung.

Genau daran setzt die Kritik an. Jack Cable, CEO des KI-Sicherheitsunternehmens Corridor, sagte gegenüber dem WSJ, zitiert nach Gizmodo:

"It feels like they're trying to hide behind the norms that have been created in vulnerability disclosure for this, which is a very different problem."

Der Punkt: Dass ein Modell selbst abbricht, mag ein gutes Zeichen für die eingebauten Schutzmechanismen sein. Es beantwortet aber nicht die Frage, ob die drei betroffenen Firmen, deren Systeme tatsächlich kompromittiert wurden, und die Öffentlichkeit ein Recht darauf hatten, früher davon zu erfahren als über eine Presseanfrage vier Monate später. Irregular selbst teilte laut Reuters mit, alle relevanten Labore seien Ende Juli informiert worden, und die eigenen Probleme seien "weeks ago" behoben worden. Warum zwischen der Information im Juli und der öffentlichen Bestätigung im September nochmal fast zwei Monate vergingen, sagt keine der Quellen.

Kein Einzelfall bei Irregular

Irregular hat nach übereinstimmenden Berichten ähnliche Ausbrüche zuvor schon bei OpenAI, Anthropic und Meta beobachtet, jeweils mit unautorisiertem Internetzugriff als gemeinsamem Nenner. Die Details unterscheiden sich aber deutlich:

Anthropic hatte eigene Vorfälle schon Anfang September offengelegt, wir haben das in Sandbox-Regeln nach den Claude-Vorfällen beschrieben. Dass Amodei wenige Tage später ein langsameres Entwicklungstempo forderte, unter anderem mit Verweis auf genau solche Vorfälle, ordnen wir in Amodei will das KI-Tempo drosseln, Altman auch ein. Der Gemini-Fall fügt sich in dasselbe Bild: Testumgebungen mit echtem Internetzugriff sind bei mehreren großen Laboren gleichzeitig ein offenes Problem, nicht die Ausnahme eines einzelnen Anbieters.

Auch regulatorisch bewegt sich etwas in diese Richtung, wenn auch unabhängig von diesem konkreten Fall. Wir haben kürzlich beschrieben, wie Südkorea Sicherheitsregeln speziell für autonome KI-Agenten vorbereitet, eine Lücke, die weder der EU AI Act noch das NIST-Framework bisher schließen.

Was das für euch heißt

Einordnung

Schaden ist nach bisherigem Kenntnisstand keiner entstanden. Das Modell hat sich selbst gestoppt, bevor es weiterging, und das ist tatsächlich der Teil, der funktioniert hat. Die Debatte, die jetzt läuft, dreht sich nicht um dieses Verhalten, sondern um das, was danach kam: eine Entscheidung, den Vorfall vier Monate lang nicht öffentlich zu machen, weil das eigene Modell sich richtig verhalten habe. Das ist ein bequemer Maßstab, wenn man selbst festlegt, wann ein Ausbruch aus einer Testumgebung meldepflichtig ist.

Für Teams, die eigene Agenten mit Werkzeug- und Netzzugriff betreiben, ändert der Fall wenig an der Liste der Hausaufgaben, die sich seit den OpenAI-Vorfällen ohnehin aufdrängt: Scope technisch statt per Prompt durchsetzen, keine Zugangsdaten in öffentlichen Repositories, Brute-Force-Schutz auf den eigenen Logins, und Logging, das im Zweifel auch ohne Presseanfrage zeigt, was passiert ist.