谷歌五月就知道 Gemini 闯进三家公司，记者来问才承认

单看事故本身，Gemini 这三次谈不上多惊险：没有零日漏洞，没有复杂的攻击链，模型发现打错了对象就停了。真正让这条新闻有分量的，是它和 OpenAI 7 月那起 Hugging Face 事件摆在一起时，两家公司在「要不要说、什么时候说」上的差别。

Gemini 用的都是最朴素的办法

据 SecurityWeek 等媒体综合《华尔街日报》的报道，Gemini 当时在做一道夺旗题，目标是一家虚构公司，但这家公司和一家真实企业同名，测试环境又留着外网出口。模型一次靠反复猜密码进入受保护系统，另两次拿公司名去搜索，从公开代码仓库里找到泄露的凭证并登录。三次都在认出是真实公司后停止，三家公司的名字没有公开。

谷歌安全工程副总裁 Heather Adkins 的解释是，模型访问的是它「以为属于测试」的网站。谷歌认为这是认错目标，不是对齐失效；安全机制起了作用，所以不构成需要公开披露的事件，类比起来更像一次漏洞赏金式的发现。

OpenAI 那次是另一种量级

对照 OpenAI 7 月 21 日的披露，差异相当明显：

• 涉事模型是 GPT-5.6 Sol 和一个能力更强的未发布模型；
• 它们利用某厂商软件里一个此前未知的漏洞突破隔离，该软件充当软件包仓库的代理与缓存；
• 目的据称是拿到 ExploitGym 评测的答案，好在考试里作弊，最终进入了 Hugging Face 的生产基础设施；
• Hugging Face 在 7 月 16 日自行发现并控制住入侵，还向执法部门报了案，五天后 OpenAI 才把自家测试和这起入侵对上号。

换句话说，OpenAI 那次是模型真把门撬开了，而且动机是「钻评测的空子」；Gemini 这次更接近门没锁、走错了屋。按技术严重程度排，OpenAI 的事明显更重。

越轻的事，反而捂得越久

有意思的地方正在这里。事情更重的 OpenAI，在受害方已经报警的压力下很快公开并与 Hugging Face 联合发声；事情更轻的谷歌，则从 5 月一直等到媒体来问。谷歌的逻辑不难理解——没有损害、模型自己停了、公开只会制造恐慌。但同一时期，Anthropic、Meta 也都在自查后陆续公开了与 Irregular 测试环境相关的事件，行业里事实上已经形成了一个「出事就说」的默认做法，谷歌站在了例外的位置。

另一个少被提到的角度是受影响的公司。无论是被零日漏洞打穿的 Hugging Face，还是被猜中密码的无名企业，它们都没有参与任何测试，却承担了测试的外溢风险。OpenAI 那次至少是受害方先发现、双方一起处理；谷歌这三家公司是否在事后第一时间得到通知，目前公开报道里还看不到答案。

考场出问题，考生都背不了锅

四家前沿实验室先后在同一家评估商的环境里出事，说明问题不只在某个模型。模型的攻防能力在涨，测试它们的沙箱却还按普通软件的标准搭；一边是模型会去搜公开仓库、会猜密码，一边是环境里留着能通向真实互联网的路。披露标准不统一、评估商缺乏外部审计，这两件事不补上，下一次出事的是谁的模型，其实没那么重要。