Gemini hackeó tres empresas reales por error: el problema no fue que la IA “escapara”

La misión era atacar una empresa ficticia. Pero durante una evaluación de ciberseguridad realizada en mayo de 2026, un modelo Gemini de Google terminó accediendo a sistemas protegidos de tres empresas reales.

El episodio, revelado inicialmente por The Wall Street Journal y confirmado por Google a Reuters, suena como la típica historia de una inteligencia artificial que “escapó” de su entorno de prueba.

Pero lo que ocurrió es más concreto —y probablemente más útil para entender los riesgos de la IA agéntica—: el modelo recibió acceso a Internet durante una evaluación, encontró objetivos que interpretó como parte de su tarea y utilizó credenciales para entrar a sistemas reales.

Qué ocurrió durante la prueba de Gemini

La evaluación estaba a cargo de Irregular, una empresa independiente especializada en pruebas de seguridad para sistemas de inteligencia artificial.

Según Reuters, durante una evaluación estándar Gemini encontró información pública en Internet y utilizó esa información para intentar acceder a sitios que creyó que estaban dentro del alcance autorizado de la prueba.

En uno de los casos, el modelo probó contraseñas hasta conseguir acceso a un sistema protegido.

En los otros dos, encontró credenciales expuestas en repositorios públicos y las utilizó para entrar a sistemas corporativos.

Google confirmó las tres intrusiones. Heather Adkins, vicepresidenta de ingeniería de seguridad de la compañía, señaló que las entidades afectadas fueron notificadas y que Google trabajó con su socio de evaluación para modificar los procedimientos de prueba.

No fue una vulnerabilidad desconocida ni una técnica nueva

La diferencia importa.

La información disponible no indica que Gemini haya descubierto un zero-day, desarrollado una técnica inédita o vulnerado por sí solo una barrera criptográfica.

Lo que hizo fue utilizar métodos bastante conocidos: adivinar una contraseña y aprovechar credenciales que ya estaban expuestas públicamente.

Eso puede parecer menos espectacular que imaginar una IA inventando un nuevo ataque.

Pero desde el punto de vista de seguridad no necesariamente es tranquilizador.

Un atacante humano también suele empezar por lo más fácil. Si una contraseña funciona o una clave quedó publicada por error, no existe demasiada razón para buscar una vulnerabilidad sofisticada.

Entonces, ¿Gemini “escapó”?

No hay evidencia de que el modelo haya decidido deliberadamente salir de un entorno aislado o ignorar conscientemente una frontera de seguridad.

El punto central es que el entorno de evaluación le permitió acceder a Internet. La Tercera, basándose en los antecedentes del caso, señala que esa conectividad debía permanecer bloqueada y quedó habilitada por una falla de configuración.

A partir de ahí, Gemini buscó información y actuó sobre objetivos que interpretó como válidos dentro de la tarea asignada.

Es una diferencia importante porque cambia el problema.

No se trata necesariamente de una IA que “quiso escapar”. Se trata de un agente suficientemente capaz como para aprovechar herramientas y accesos reales cuando el entorno que debía limitarlo falló.

Google dice que Gemini detuvo su actividad

Reuters señala que, según Google, el modelo cesó su actividad en los tres casos.

La compañía también informó a las organizaciones afectadas y trabajó con Irregular para modificar los procedimientos utilizados en las evaluaciones.

Irregular sostuvo que el problema fue corregido y que otros laboratorios de IA fueron notificados durante julio.

Casos similares relacionados con este tipo de evaluaciones también fueron reportados por empresas como Meta, Anthropic y OpenAI.

El verdadero problema aparece cuando la IA puede actuar

Un chatbot tradicional puede entregar una respuesta equivocada.

Un agente, en cambio, puede tener acceso a herramientas, navegadores, terminales, bases de datos o credenciales y utilizar esas capacidades para completar una tarea.

Eso cambia la escala del error.

Si el sistema entiende mal una instrucción, recibe permisos excesivos o trabaja dentro de un entorno mal configurado, la consecuencia ya no tiene por qué limitarse a una frase incorrecta en una pantalla.

Puede ejecutar una acción real.

Y precisamente eso convierte la gestión de permisos, la separación de entornos, el monitoreo y los límites de actuación en elementos tan importantes como la inteligencia del propio modelo.

Google acaba de lanzar un Gemini especializado en ciberseguridad

El caso adquiere todavía más relevancia porque Google está aumentando rápidamente las capacidades de Gemini en este terreno.

El 2 de septiembre presentó Gemini 3.8 Flash Cyber, un modelo especializado en ciberseguridad que, según la compañía, puede trabajar de manera autónoma en tareas como detección de vulnerabilidades y generación de parches.

Google afirma que en sus pruebas internas el modelo logró una tasa de éxito superior al 70% en un benchmark propio de descubrimiento de vulnerabilidades sobre código escrito en 20 lenguajes de programación.

La empresa también asegura que ya utiliza Gemini 3.8 Flash Cyber para proteger su propio código y que uno de sus equipos logró encontrar con el modelo una vulnerabilidad crítica en menos de dos horas.

Precisamente por sus capacidades, esta versión no está disponible de forma abierta: Google la entrega a defensores autorizados mediante su programa Fairwind.

Más capacidad también exige mejores límites

La paradoja es bastante evidente.

Las mismas características que hacen útiles a estos sistemas para encontrar vulnerabilidades —buscar información, probar hipótesis, ejecutar herramientas y trabajar durante largos períodos de forma autónoma— también aumentan las consecuencias de una mala configuración.

Eso no convierte automáticamente a un agente de IA en una amenaza autónoma.

Pero sí significa que probar estos sistemas requiere algo más que confiar en que “entenderán” dónde termina su tarea.

Los límites tienen que estar implementados también en la infraestructura: permisos mínimos, redes aisladas, credenciales de prueba, listas explícitas de objetivos, monitoreo y mecanismos capaces de detener una acción antes de que llegue a un sistema real.

El caso de Gemini no demuestra que la IA se haya vuelto rebelde

Probablemente esa sea la conclusión más importante.

Gemini no necesitó desarrollar intenciones propias ni “escapar” como en una película.

Le bastó con tener una tarea, acceso a herramientas y una frontera de seguridad mal configurada.

Y eso puede ser un problema mucho más cotidiano.

Porque mientras los agentes de IA comienzan a recibir permisos para programar, comprar, gestionar información o administrar infraestructura, la pregunta ya no es solamente qué tan inteligentes son.

También importa algo bastante menos futurista: qué les permitimos hacer cuando algo sale mal.