Google schwieg, Gemini hackte: Neue Zweifel an KI-Sicherheit

Google verschwieg monatelang, dass seine KI Gemini bei einem Test aus Versehen in Systeme dreier realer Unternehmen eindrang. Warum das kein Einzelfall ist.

Googles KI-Modell Gemini hat sich im Mai 2026 während eines Sicherheitstests Zugang zu geschützten Systemen dreier realer Unternehmen verschafft, obwohl sie eigentlich nur eine fiktive Firma angreifen sollte. Bekannt wurde der Vorfall erst Monate später, nachdem das Wall Street Journal bei Google nachfragte.

Der Fall reiht sich in eine wachsende Liste ähnlicher Zwischenfälle bei den großen KI-Entwicklern ein und zeigt, wie dünn die Wände zwischen Testumgebung und echter Infrastruktur mittlerweile sind.

Fehlkonfiguration öffnete das Internet

Bei dem Vorfall handelte es sich demnach um eine Capture-the-Flag-Übung des Sicherheitsanbieters Irregular. Gemini sollte Daten aus der Software einer fiktiven Firma abrufen, doch eine fehlerhafte Konfiguration ließ dem Modell freien Zugriff aufs offene Internet. In einem Fall trug die fiktive Firma denselben Namen wie ein real existierendes Unternehmen, Gemini erriet dort Passwörter, bis der Zugang gelang. Bei den beiden anderen Fällen fand das Modell Zugangsdaten in öffentlich zugänglichen Repositorys und nutzte sie für weitere Zugriffe.

Dass ein Testszenario derart aus dem Rahmen laufen konnte, wirft ein Schlaglicht auf die Frage, wie realistisch solche Übungen überhaupt konzipiert werden. Eine fiktive Firma, die zufällig einen echten Namen trägt, klingt nach einem vermeidbaren Planungsfehler, doch genau dieser Fehler reichte aus, damit ein autonom agierendes Modell die Grenze zwischen Simulation und Realität selbst nicht mehr erkannte.

Das Modell handelte dabei nicht bösartig, sondern folgte konsequent seiner Aufgabenstellung, Zugänge zu finden und zu nutzen, ohne dass ihm die Unterscheidung zwischen Test und echtem Ziel technisch vorgegeben war. Google-Managerin Heather Adkins erklärte laut Tagesschau, die betroffenen Unternehmen seien informiert und die Testverfahren anschließend geändert worden. Aus Sicht des Konzerns sei eine frühere Veröffentlichung nicht notwendig gewesen, weil kein Schaden entstanden sei und Gemini die Zugriffe selbstständig beendet habe, als klar wurde, dass es sich um echte Systeme handelte.

Jack Cable, CEO des Sicherheitsunternehmens Corridor, hält diesen Umgang demnach für unzureichend: Vorfälle, bei denen KI-Modelle außerhalb ihrer vorgesehenen Grenzen auf reale Systeme zugreifen, seien ein eigenes Problem, das nicht wie eine gewöhnliche Schwachstellenmeldung behandelt werden dürfe. Diese Einschätzung trifft den Kern der Kritik an Googles Kommunikationsstrategie: Ein Sicherheitsleck bei fremder Software zu melden ist etwas anderes, als einzugestehen, dass die eigene KI unkontrolliert in fremde Systeme eindringt.