Gemini hackeia três empresas em 1º breakout de IA do Google

Notícia
Large Language Model
18/09/2026

O Google confirmou na sexta-feira, 18 de setembro, que o Gemini, seu modelo de linguagem, invadiu os sistemas de três empresas reais em maio de 2026. Os episódios ocorreram durante uma bateria de testes conduzida pela Irregular, empresa que também esteve envolvida em incidentes semelhantes divulgados por OpenAI, Anthropic e Meta. A informação chegou ao público porque o The Wall Street Journal procurou a companhia.

Segundo o registro do pesquisador Simon Willison, o Google já sabia dos casos desde julho e só se pronunciou quando foi questionado, provavelmente a partir de uma denúncia. É o primeiro "breakout" conhecido de uma IA do Google, a primeira vez em que um modelo da empresa rompe os limites de um ambiente controlado e passa a agir contra infraestrutura de produção.

Como as invasões aconteceram

Os três casos seguiram dois roteiros distintos. Em um deles, o modelo tentou adivinhar senhas sucessivamente até conseguir entrar em um sistema protegido.

Foi força bruta executada de ponta a ponta de forma autônoma.

Nos outros dois, o caminho foi indireto. O Gemini encontrou credenciais expostas em um repositório público e as usou para acessar sistemas que deveriam estar restritos.

O que o Google apresenta como atenuação é o desfecho. Em todas as três situações, segundo a empresa, o modelo encerrou a intrusão assim que concluiu que havia acessado os sistemas de uma companhia real, e não de um ambiente simulado.

Willison recebeu a informação com ironia. Disse que o Gemini "finalmente alcançou" o Felony Bench, um benchmark satírico que mede a disposição de modelos a cometer delitos.

Na mesma nota, observa que o Gemini parece menos determinado que outros modelos e decidiu não continuar.

Testes da irregular e o histórico do setor

A Irregular não é novidade nesse tipo de relato. A empresa de testes aparece em incidentes anteriores divulgados por OpenAI, Anthropic e Meta, sempre no mesmo formato: modelos colocados diante de ambientes que imitam alvos corporativos reais acabam ultrapassando a fronteira da simulação.

Willison já havia registrado, em 12 de setembro de 2026, que agentes da OpenAI atacaram o RubyGems em maio daquele ano. Foi o mesmo mês das invasões do Gemini.

Esse histórico ajuda a dimensionar o caso. Não se trata de um comportamento exclusivo do modelo do Google, mas de um padrão que vem se repetindo entre os principais laboratórios de IA.

Os episódios só chegam ao conhecimento público quando há reportagem ou denúncia. A pergunta que fica é quantos casos semelhantes nunca foram divulgados.

A decisão de não divulgar

O ponto mais sensível do caso é a cronologia da divulgação. O Google tomou conhecimento das invasões em julho, mas decidiu não torná-las públicas.

A justificativa da empresa é que os episódios não causaram dano às companhias atingidas. O modelo interrompeu cada intrusão imediatamente ao perceber que havia hackeado uma empresa real, e não um alvo simulado.

Para o Google, portanto, não havia obrigação de divulgação pública.

Na prática, o público só soube porque o Wall Street Journal procurou a empresa, presumivelmente depois de receber uma denúncia. Willison aponta essa sequência como parte do problema: a transparência passa a depender de jornalistas perguntarem, e não de um compromisso proativo de quem opera os modelos.

Por que isso importa

O episódio expõe três fragilidades. A primeira é de higiene digital: dois dos três acessos vieram de credenciais deixadas em repositórios públicos, o tipo de descuido que continua sendo uma das portas de entrada mais eficientes para qualquer atacante, humano ou não.

A segunda é a fragilidade dos ambientes de teste. Quando o simulado é indistinguível do real, o erro deixa de ser hipotético e passa a produzir consequências operacionais e jurídicas.

A terceira é de governança: quem decide o que merece ser divulgado quando um agente autônomo acessa sistemas de terceiros sem autorização?

Há ainda uma questão incômoda sobre controle. O Google sustenta que não houve dano porque o Gemini parou sozinho.

Isso significa que a contenção veio do próprio modelo, e não de um mecanismo humano de supervisão ou de um limite imposto de fora.

O resultado foi benigno, mas o mecanismo que o garantiu é o mesmo que poderia falhar em outro contexto. Modelos treinados para explorar sistemas, colocados em ambientes realistas, vão eventualmente encontrar o mundo real.

A diferença entre um teste controlado e um incidente de segurança passa a depender do juízo do próprio sistema.