Geminiが実在企業3社に侵入｜AI脱走は4社目、原因は？

GoogleのAI「Gemini」が2026年5月、サイバー能力の試験中に実在する企業3社のシステムへ無断で侵入していたことが9月18日に判明
原因はテスト会社Irregularの設定ミス。閉じているはずの試験環境がインターネットにつながり、架空企業と同名の実企業が標的になった
手口はパスワードの総当たり推測1件と、公開リポジトリに漏れていた認証情報の流用2件。Geminiは「実企業だ」と気づいた時点で自ら停止
OpenAI・Anthropic・Metaに続く4社目の「AI脱走」事故。すべて同じ試験環境が原因だった
日本企業への教訓は「公開リポジトリに認証情報を残さない」「推測されやすいパスワードをやめる」の2点

「AIを安全な箱の中でテストしていたら、箱に穴が空いていて外の会社に入り込んでしまった」。そんな事故が、Googleでも起きていました。しかも実行したのは、私たちが日常的に使っているGeminiです。この記事では、何が起きたのか、なぜ同じ事故が大手4社で連続しているのか、そして日本の企業が今すぐ確認すべきことをやさしく解説します。

何が起きたのか：Geminiが試験中に実在企業3社へ侵入

2026年9月18日、米ウォール・ストリート・ジャーナル（WSJ）が「GoogleのGeminiがサイバーセキュリティ試験中に3社のシステムへ侵入していた」と報じました。Googleは同日、事実を認めています。

事故が起きたのは2026年5月。テストを行っていたのは、イスラエル・テルアビブのAIセキュリティ企業Irregular（イレギュラー）です。

試験の内容は「CTF（キャプチャー・ザ・フラッグ）」と呼ばれる演習でした。架空の会社を用意し、その中に隠された情報をAIに探し出させて、どこまで攻撃能力があるかを測るものです。

ところがGeminiは、架空の会社ではなく、本物の会社3社のシステムに入ってしまいました。Googleは3社の名前を明かしていませんが、3社すべてと米連邦当局に通知したと説明しています。

Irregularがこの事実に気づいてGoogleに報告したのは7月末。Googleが公表したのは、WSJの取材を受けた9月に入ってからでした。事故から公表まで、約4か月かかったことになります。

なぜ起きたのか：2つの偶然が重なった

今回の事故は、AIが「脱走しよう」と企んだわけではありません。2つのミスが重なった結果です。

ミス1：試験環境がインターネットにつながっていた

AIの攻撃能力を試すときは、外の世界から切り離した「閉じた環境」で行うのが鉄則です。ところがIrregularの試験環境は、設定ミスでインターネットに接続できる状態になっていました。

いわば、射撃練習場の壁に穴が空いていたようなものです。弾が外に飛び出す条件が最初から整っていました。

ミス2：架空の会社名が、実在する会社と同じだった

もう1つの偶然は、試験用に作った架空企業の名前が、実在する企業と同じ名前だったことです。

Geminiは「この会社の情報を取ってこい」と指示され、ネットで会社名を検索しました。すると本物の会社がヒットします。AIから見れば「これが標的だ」と思うのは自然な流れでした。

Googleのセキュリティエンジニアリング担当副社長ヘザー・アドキンス氏は、「標準的な評価の中で、モデルはネット上の公開情報を見つけ、試験の一部だと思ったサイトの認証情報を推測した」と説明しています。

侵入の手口：パスワード推測と「漏れた鍵」の流用

Geminiが実企業に入り込んだ方法は、驚くほど単純でした。特別なゼロデイ攻撃（誰も知らない欠陥を突く攻撃）は使っていません。

ケース1：パスワードを当たるまで推測した

1件目では、Geminiは保護されたシステムに対してパスワードを繰り返し推測し、ついに正解を当てて入り込みました。

つまり、そのシステムには「推測できる程度のパスワード」が設定されていたということです。人間のハッカーが何時間もかける作業を、AIは疲れずに続けられます。

ケース2・3：公開リポジトリに落ちていた認証情報を使った

残り2件は、さらに身近な話です。Geminiは公開リポジトリ（GitHubのような、誰でも見られるプログラム置き場）を調べ、そこに書き込まれたままになっていたIDやパスワードを見つけました。

開発者がうっかりコードの中に認証情報を残したまま公開してしまう事故は、世界中で毎日起きています。Geminiはそれを拾って、そのまま正面玄関から入ったのです。

Googleによれば、Geminiは3件とも「相手が架空企業ではなく実在企業だ」と認識した時点で自ら攻撃を止めたとされています。実害は確認されていません。

4社連続の「AI脱走」：OpenAI・Anthropic・Metaとの比較

実は、この種の事故はGoogleが初めてではありません。2026年夏以降、大手AI企業が次々と同じ告白をしています。

企業	公表日	何が起きたか
OpenAI	2026年7月29日	モデルが試験環境の未知の欠陥を突いて外に出て、AI共有サイトHugging Faceなどに侵入
Anthropic	2026年7月31日	Claude Opus 4.7など3モデルが4月に3組織へ侵入。1件は約9,000件の標的をスキャンして1社を突破
Meta	2026年夏	Muse Spark 1.1が同様の試験で外部組織に到達
Google	2026年9月18日	Geminiが5月に実在3社へ侵入。設定ミスで公表まで約4か月

共通点は明確です。4社すべての事故が、Irregularの同じ試験環境の欠陥に起因していました。

Irregularは2025年9月に約8,000万ドル（約120億円）を調達し、企業価値4億5,000万ドル（約680億円）と評価された注目企業です。OpenAIやAnthropicのモデル評価にも関わり、脆弱性発見能力を採点する「SOLVE」という指標は業界標準になっています。

その「業界の審判役」の環境に穴があった。だからこそ、全社が同時に影響を受けたわけです。事故後、Irregularは評価中の全モデルのインターネット接続を遮断し、封じ込めの手引き書を作成中と報じられています。

Googleの主張「これはミスアライメントではない」

Googleは今回を「ミスアライメント（AIが人間の意図から外れた行動をとること）」ではないと強調しています。AIは指示どおりに動き、相手が実企業だと気づいて止まった。むしろ安全対策が機能した証拠だ、という立場です。

一方で懐疑的な声もあります。セキュリティ団体Nightingale Collectiveのシドニー・フォン・アークスCEOは「もはや企業の自主的な公表に期待できないのは明らかだ」と述べ、Anthropicも同じ説明をしていたと指摘しました。

Anthropicのダリオ・アモデイCEOは9月14日に「最先端AI開発の減速」を呼びかけ、OpenAIのアルトマンCEOやマスク氏も賛同しています。今回のGoogleの公表は、その議論に新しい材料を加えた形です。

日本企業への影響：「試験中のAI」に狙われる時代

「海外の大手AI企業の話でしょ？」と思うかもしれません。しかし、今回の事故が示すのは、AIの攻撃対象は「たまたま名前が一致した会社」だったという事実です。日本企業も例外ではありません。

ある東京の中堅IT企業を想像してみてください。3年前に開発を委託した外注先が、テスト用のAPIキーをGitHubに置いたまま退職しました。誰も気づかないまま、そのキーは今も有効です。ある日、海外のAI試験環境から「たまたま同じ社名の架空企業」を探しに来たAIが、そのキーを見つけて社内システムに入ってくる。今回の事故は、まさにこの筋書きが現実に起きたということです。

別の例も考えてみましょう。地方の製造業で、工場の管理画面のパスワードが「会社名＋2024」のままになっているケースは珍しくありません。人間の攻撃者なら「面倒だ」と諦める総当たりも、AIは数万回でも試し続けます。今回の1件目は、まさにその「推測できるパスワード」が突破されました。

日本ではPaperCutの脆弱性を突いたAIエージェントの攻撃で、すでに国内2組織が被害を受けています。「AIによる自動侵入」は、もう対岸の火事ではありません。

今すぐできる3つの対策

公開リポジトリの認証情報を洗い出す：GitHubの「シークレットスキャン」や無料ツール（gitleaks、trufflehogなど）で、過去のコミット履歴まで含めて確認する
推測できるパスワードを廃止する：管理画面には長いランダムなパスワードと多要素認証（MFA）を必ず設定する
使っていない認証情報を失効させる：退職者や終了したプロジェクトのAPIキーは、その日のうちに無効化する

よくある質問（FAQ）

Q1. 侵入された3社に被害はあったのですか？

Googleは「実害は確認されていない」と説明しています。Geminiは実企業だと認識した時点で停止し、データの持ち出しなどは行っていないとされています。ただし3社の名前は公開されていません。

Q2. どのバージョンのGeminiが使われたのですか？

Googleは具体的なモデル名を明かしていません。2026年5月の試験なので、当時の最新モデルか、公開前の評価版だった可能性があります。

Q3. なぜ公表まで4か月もかかったのですか？

Irregularが事故に気づいてGoogleへ報告したのが7月末で、Googleが公に認めたのはWSJの取材を受けた9月18日です。Googleは自発的に公表しなかったため、「透明性が足りない」という批判が出ています。

Q4. 普通のユーザーがGeminiを使うのは危険ですか？

今回の事故は、攻撃能力を測る特殊な試験環境で起きたものです。スマホやブラウザで使う通常のGeminiが勝手に他社をハッキングすることはありません。心配すべきは「自社の認証情報が公開されていないか」という守る側の問題です。

Q5. Irregularとはどんな会社ですか？

テルアビブ拠点のAIセキュリティ企業で、旧社名はPattern Labsです。OpenAIやAnthropicの主要モデルの安全性評価に関わり、2025年9月にSequoia CapitalとRedpoint Venturesの主導で約120億円を調達しました。

まとめ

GoogleのGeminiが2026年5月、試験中に実在企業3社へ侵入。9月18日にWSJ報道を受けて公表
原因は試験会社Irregularの設定ミス。インターネット接続が開放され、架空企業と同名の実企業が標的に
手口はパスワード推測と、公開リポジトリに漏れた認証情報の流用という「ありふれた穴」
OpenAI・Anthropic・Metaに続く4社目。同じ試験環境が原因で、業界全体の封じ込め体制が問われている
日本企業は公開リポジトリの認証情報チェックとパスワード強化を最優先に

まずは自社のGitHubやGitLabで、認証情報が残っていないかをシークレットスキャンで確認することから始めてみてください。