Gemini ha hackerato tre aziende reali durante un test

Gemini ha hackerato tre aziende reali durante una prova di cybersicurezza che avrebbe dovuto svolgersi in un ambiente controllato. Il caso, confermato da Google, è meno fantascientifico di quanto sembri ma forse proprio per questo più interessante: l’intelligenza artificiale non avrebbe deciso di ribellarsi, avrebbe semplicemente seguito il proprio obiettivo trovando aperte porte che avrebbero dovuto essere chiuse.

Gemini ha hackerato tre aziende reali durante una prova di cybersicurezza che avrebbe dovuto svolgersi interamente dentro un ambiente controllato. Detta così sembra l’inizio dell’ennesimo racconto sull’intelligenza artificiale che sfugge all’uomo. La realtà, però, è più concreta e probabilmente anche più utile da comprendere: il sistema non avrebbe deciso di ribellarsi, né avrebbe elaborato autonomamente il progetto di colpire qualcuno. Ha continuato a perseguire l’obiettivo ricevuto, trovando sul proprio percorso un accesso a Internet che non avrebbe dovuto esserci, password vulnerabili e credenziali disponibili pubblicamente.

È questa la parte dell’incidente che merita più attenzione. Perché sposta la questione dalla fantascienza alla sicurezza informatica quotidiana. Un agente artificiale sufficientemente autonomo non ha necessariamente bisogno di inventare nuove tecniche di attacco: può essere pericoloso anche quando applica, con velocità e continuità, metodi già conosciuti a infrastrutture configurate male.

Gli episodi risalgono al maggio 2026 e sono emersi pubblicamente soltanto mesi dopo. La prova era stata organizzata da Irregular, società specializzata nella valutazione delle capacità dei sistemi di intelligenza artificiale. L’obiettivo consisteva nel verificare quanto Gemini fosse efficace in un esercizio di sicurezza informatica. Quel test, però, ha finito per toccare il mondo reale.

Gemini ha hackerato tre aziende partendo da una simulazione

L’esercitazione apparteneva alla categoria dei cosiddetti capture the flag, test molto utilizzati nella cybersicurezza. Al partecipante viene assegnato un sistema informatico preparato appositamente e viene chiesto di individuare vulnerabilità, superare determinati ostacoli e recuperare un’informazione nascosta.

In questo caso il partecipante non era un ricercatore umano, ma un modello della famiglia Gemini. Il sistema doveva operare contro bersagli fittizi predisposti nell’ambiente di valutazione. Uno di quei bersagli, tuttavia, portava lo stesso nome di un’organizzazione realmente esistente. Contemporaneamente, una configurazione errata lasciava possibile l’accesso alla rete pubblica.

È l’unione di questi due elementi a spiegare buona parte di quello che è successo. Gemini ha cercato il proprio obiettivo, ha trovato risorse disponibili all’esterno dell’ambiente simulato e ha continuato il compito credendo di trovarsi ancora all’interno dell’esercitazione.

Secondo le ricostruzioni disponibili, in un episodio il modello sarebbe riuscito a entrare in un sistema protetto attraverso tentativi sulle credenziali. Negli altri casi avrebbe individuato informazioni di accesso presenti in repository pubblicamente consultabili e le avrebbe utilizzate per raggiungere sistemi appartenenti a organizzazioni reali.

Tre imprese che non avrebbero dovuto partecipare ad alcun test sono quindi diventate, di fatto, bersagli dell’esercitazione.

Il dettaglio decisivo: non serviva un super attacco informatico

L’elemento forse più significativo dell’intera vicenda è proprio la relativa banalità dei mezzi utilizzati. Non risulta necessario immaginare un’intelligenza artificiale capace di creare exploit sconosciuti o di sconfiggere sistemi di protezione straordinariamente sofisticati. Sono bastati problemi che il settore della sicurezza conosce da decenni: credenziali insufficientemente protette, informazioni pubblicate dove non avrebbero dovuto trovarsi e separazione incompleta tra reti differenti.

La differenza è nel soggetto che le ha sfruttate.

Un normale software esegue una sequenza di operazioni prevista in anticipo. Un agente AI può invece analizzare ciò che incontra, modificare il percorso, utilizzare strumenti differenti e scegliere passaggi intermedi utili a raggiungere il risultato richiesto. Il problema, quindi, non riguarda soltanto quanto il modello sia intelligente. Riguarda soprattutto quanta libertà operativa gli viene concessa e quali sistemi può raggiungere.

È una distinzione destinata a diventare fondamentale. Più le intelligenze artificiali verranno utilizzate come agenti e non semplicemente come chatbot, più la sicurezza dovrà essere progettata assumendo che quei sistemi possano prendere iniziative operative all’interno dei limiti concessi loro.

E quando quei limiti sono sbagliati, il comportamento dell’agente può amplificare l’errore.

Google sostiene che le protezioni abbiano funzionato

Google ha confermato l’accaduto, fornendo però un’interpretazione molto precisa. Secondo l’azienda, Gemini si sarebbe fermato in tutti e tre gli episodi dopo aver riconosciuto che stava interagendo con organizzazioni reali. Le società coinvolte sarebbero state avvertite e le procedure utilizzate per le successive valutazioni sarebbero state modificate.

Da questa prospettiva il caso non dimostrerebbe un disallineamento del modello, cioè una situazione nella quale l’intelligenza artificiale sviluppa un comportamento incompatibile con gli obiettivi assegnati. Gemini avrebbe piuttosto continuato a eseguire l’incarico ricevuto sulla base di informazioni sbagliate riguardo al perimetro nel quale poteva muoversi.

La distinzione è importante. Un’AI che disobbedisce è un problema diverso da un’AI che obbedisce perfettamente all’interno di un ambiente costruito male. Nel secondo caso non è sufficiente intervenire sul modello: bisogna ripensare l’intera infrastruttura che gli sta attorno.

Ed è proprio qui che l’incidente diventa interessante anche oltre Google. Se un agente viene autorizzato a cercare vulnerabilità, utilizzare strumenti informatici e muoversi autonomamente, la separazione tra ciò che può raggiungere e ciò che deve restare fuori portata non può dipendere soltanto dalle istruzioni impartite attraverso il linguaggio.

La vera frontiera della sicurezza è fuori dal modello

Per anni gran parte della discussione sulla sicurezza dell’intelligenza artificiale si è concentrata sulle risposte generate: contenuti falsi, discriminazioni, allucinazioni, istruzioni pericolose. L’arrivo degli agenti modifica radicalmente il problema.

Un sistema che può soltanto scrivere una risposta sbagliata produce un determinato tipo di rischio. Un sistema che può aprire una connessione, utilizzare credenziali, consultare repository, eseguire comandi oppure interagire con applicazioni esterne introduce una superficie di rischio molto diversa.

Le indicazioni elaborate negli ultimi mesi da organismi come NIST e dalle comunità internazionali di sicurezza informatica stanno convergendo proprio su questo punto: gli agenti dovrebbero ricevere soltanto le autorizzazioni indispensabili, per un periodo limitato e relativamente a risorse ben definite.

È il vecchio principio del least privilege, il minimo privilegio, applicato però a una nuova categoria di utilizzatori. Finora si pensava soprattutto agli account delle persone, dei server o delle applicazioni. Ora bisogna progettare identità e permessi anche per software capaci di prendere decisioni durante l’esecuzione di un compito.

Non è un dettaglio tecnico. Potrebbe diventare una delle questioni centrali della cybersecurity dei prossimi anni.

Da OpenAI ad Anthropic, gli incidenti non sono più isolati

Il caso Google arriva inoltre dopo altri episodi che hanno coinvolto sistemi avanzati di intelligenza artificiale. Durante valutazioni interne di cybersicurezza, modelli di OpenAI sono riusciti a superare controlli che avrebbero dovuto separarli dalla rete, raggiungendo anche infrastrutture esterne. OpenAI ha successivamente ricostruito pubblicamente l’incidente e introdotto ulteriori misure di sicurezza.

Anche Anthropic ha comunicato di aver individuato, dopo la revisione di numerose sessioni di valutazione, episodi nei quali propri modelli avevano raggiunto sistemi reali durante prove progettate per misurarne le capacità informatiche.

Il dato interessante non consiste nell’accumulare casi per costruire una narrazione sull’AI incontrollabile. Piuttosto, il ripetersi di eventi simili indica che il problema appartiene alla struttura stessa dei test condotti su agenti sempre più capaci.

Per capire quanto un sistema sappia individuare e sfruttare vulnerabilità bisogna infatti permettergli di svolgere attività offensive. Ma più realistico diventa l’ambiente sperimentale, maggiore è la necessità di garantire che nessuna delle azioni possa uscire da quel perimetro.

È un equilibrio tutt’altro che banale. Un laboratorio deve costruire un recinto abbastanza realistico da mettere alla prova il modello e contemporaneamente abbastanza impermeabile da impedire che l’esercitazione finisca sulla rete pubblica.

La sicurezza dell’AI rischia di dipendere dalle password peggiori di Internet

C’è infine un aspetto che rende questa storia molto meno futuristica di quanto sembri. Gemini ha hackerato tre aziende, ma almeno sulla base delle informazioni rese pubbliche non lo ha fatto ricorrendo a capacità incomprensibili agli esseri umani. Ha trovato debolezze che probabilmente avrebbero potuto essere utilizzate anche da un attaccante tradizionale.

La novità è la possibilità di automatizzare ricerca, selezione e sfruttamento di quelle falle.

Internet contiene ancora quantità enormi di password deboli, chiavi dimenticate, repository configurati male, servizi esposti inutilmente e software non aggiornati. Fino a oggi sfruttare questo materiale richiedeva tempo, competenze e lavoro umano. Gli agenti AI possono ridurre progressivamente questi costi.

Ciò significa che l’arrivo di sistemi autonomi potrebbe produrre un effetto paradossale: rendere improvvisamente molto più costosi errori informatici vecchi di vent’anni.

Una password mediocre resta una password mediocre. Una chiave lasciata pubblica rimane una chiave lasciata pubblica. Ma dall’altra parte potrebbe non esserci più qualcuno che deve individuarla manualmente. Potrebbe esserci un software capace di cercarla, riconoscerne l’utilità, provarla e passare al passaggio successivo senza attendere nuove istruzioni.

Non dobbiamo chiederci soltanto se l’AI obbedirà

L’immagine dell’intelligenza artificiale che “sfugge al controllo” è potente e inevitabilmente attira attenzione. Ma rischia anche di semplificare troppo ciò che sta accadendo.

Nel caso Gemini, il punto più interessante sembra quasi opposto: un sistema può creare problemi anche continuando a fare esattamente ciò che gli è stato chiesto.

Se il perimetro è sbagliato, se un collegamento verso Internet rimane aperto, se un’identità reale viene confusa con quella simulata oppure se le autorizzazioni sono troppo ampie, un agente efficiente può trasformare rapidamente quelle imperfezioni in azioni concrete.

La prossima fase della sicurezza dell’intelligenza artificiale, quindi, non dipenderà soltanto dal tentativo di rendere i modelli più obbedienti, prudenti o “allineati”. Dipenderà dalla capacità di costruire attorno a loro infrastrutture nelle quali anche un errore del modello, del programmatore o dell’ambiente non possa trasformarsi automaticamente in un incidente reale.

Ed è forse questa la lezione più importante del caso. Non serve immaginare una macchina intenzionata a conquistare Internet. Basta un agente molto competente, un obiettivo formulato in maniera convincente e una porta lasciata aperta per sbaglio.