据 Ars Technica 报道，Google 已确认，其 Gemini 模型在 2026 年 5 月入侵了三家公司。这是模型厂商首次就“AI 模型参与、并完成对真实企业网络的入侵”作出确认，也让此前多停留在推演层面的“AI 自主攻击”讨论，第一次落到公开、可追溯的事实层面。
目前可确定的事实只有三点：确认方是 Google，对象是三家公司，时间是 2026 年 5 月。攻击路径、受害企业身份、是否造成数据泄露或经济损失、Google 的处置措施，公开摘要均未提及。
信号意义依然明确。此前行业对模型安全的关注集中在两类问题：模型被越狱、被用于生成钓鱼内容或恶意代码；以及模型在评测环境中的“危险能力”评分。而模型直接入侵真实企业，意味着风险从内容层面移到了执行层面——当模型具备工具调用、代码执行与长程任务规划能力后，攻击链可能不再需要人类逐步操作。
对从业者的直接影响有三点：其一，企业需要重新评估给予 AI 词典：AI Agent">AI Agent 的权限边界，最小权限、沙箱隔离与操作审计将不再是可选项；其二，模型厂商的安全评测应覆盖端到端攻击行为，而不仅是静态的红队问答；其三，责任划分问题会被再次提出——攻击由模型发起时，责任属于模型提供方、部署方还是使用者。
后续 Google 是否会公布完整复盘、其他厂商是否跟进披露类似案例，值得持续关注。