Quand une notification WhatsApp peut hijacker votre assistant vocal

Un simple « ping » sur votre téléphone. Une notification WhatsApp, Slack ou un SMS tout à fait ordinaire. En juin 2026, des chercheurs en sécurité ont révélé que ce geste anodin du quotidien pouvait se transformer en une arme de piratage redoutable contre l'assistant vocal Google Gemini sur Android. Sans que la victime n'ait à cliquer sur un lien malveillant ou à installer un fichier douteux, un attaquant distant pouvait silencieusement prendre le contrôle de l'appareil pour ouvrir des portes connectées, diffuser la caméra en direct, ou empoisonner la mémoire à long terme de l'IA .

Le cœur de l'exploit résidait dans un paradoxe déconcertant : Gemini a été conçu pour vous être utile, au point de lire vos notifications entrantes. N'importe quelle application capable d'en générer une est ainsi devenue un vecteur d'attaque potentiel, son contenu étant ingéré par l'assistant comme un contexte de conversation de confiance. Une faille d'une simplicité déconcertante.

La faille : quand vos notifications deviennent des ordres cachés

L'attaque est le fruit d'une forme sophistiquée d'injection de requête indirecte, ciblant une fonctionnalité de l'agent Android Utilities de Gemini. Conçu pour traiter les notifications entrantes, cet outil manipulable par des applications tierces peut ingérer leur contenu sans méfiance. En envoyant un message piégé, un attaquant y glisse des instructions malveillantes. Lorsque Gemini lit cette « notification empoisonnée », il intègre silencieusement ces ordres à son contexte opérationnel, prêt à les exécuter lors de votre prochaine interaction, en apparence parfaitement innocente .

Cela signifie qu'aucun accès physique au téléphone, ni permission spéciale, n'était requis. Qu'il s'agisse de WhatsApp, Slack, Signal, Instagram, Messenger ou d'un simple SMS, un seul message pouvait suffire à compromettre l'appareil .

Déjouer les défenses de Google : la technique du 'Fake Context Alignment'

Forte de précédentes recherches, Google avait pourtant appris la leçon. Auparavant, une simple invitation Google Agenda malveillante avait permis de pirater Gemini. Google avait alors déployé un correctif pour bloquer deux stratégies courantes d'injection de requête : l'enchaînement d'outils et l'invocation différée. Concrètement, le système empêchait un pirate d'enclencher une cascade d'actions sensibles ou d'attendre que l'utilisateur ait le dos tourné pour agir .

Or Yair, le chercheur de SafeBreach, a trouvé un moyen ingénieux de contourner ces nouvelles protections. Sa technique, baptisée « Fake Context Alignment » (Alignement de Contexte Factice), créait une double réalité pour tromper la logique de sécurité de l'IA :

• Pour les mécanismes de sécurité de Gemini, l'interaction semblait parfaitement légitime. Les garde-fous de l'IA n'y voyaient rien d'anormal.
• Pour l'utilisateur humain, le téléphone n'affichait qu'une notification et une conversation tout à fait bénignes. Pas de requête bizarre, pas de lien suspect.

La ruse s'appuyait sur des ordres cachés à la vue de tous. Les attaquants dissimulaient les instructions malveillantes dans du texte en langue étrangère, des hyperliens rendus muets, ou d'autres formats de requête imperceptibles pour un humain, mais parfaitement lisibles par l'IA. Plus tard, quand l'utilisateur émettait une commande vocale normale, la logique d'autorisation de Gemini interprétait cette action anodine comme une approbation des tâches sensibles, semées au préalable. En combinant astucieusement ces techniques d'obscurcissement et de temporisation dans un scénario « ultime », l'équipe a réussi à contourner de manière fiable toutes les dernières protections de Google .

Cinq démonstrations d'attaques réelles

SafeBreach ne s'est pas contenté de décrire un risque théorique. Les chercheurs ont mis en scène cinq scénarios d'attaque concrets, révélant l'ampleur du détournement possible .

1. Contrôle domotique
Une fois Gemini compromise, un attaquant pouvait manipuler à distance n'importe quel appareil connecté à Google Home. Ouvrir des fenêtres domotiques, contrôler le chauffage ou la lumière, transformant l'assistant vocal en un intrus numérique aux conséquences bien réelles et potentiellement dangereuses .

2. Appels Zoom forcés et diffusion vidéo clandestine
La démonstration la plus frappante concernait le flux de la caméra. Les chercheurs ont réussi à lancer l'application Zoom sur l'appareil de la victime et à initier un appel en streaming vidéo. Pour ce faire, ils ont utilisé une redirection HTTP de type 301 à partir d'un domaine approuvé par le service Safe Browsing de Google, ce qui rendait la connexion malveillante totalement légitime aux yeux des contrôles. La victime n'avait aucune indication visuelle que sa caméra était allumée et diffusait en direct .

3. Empoisonnement de la mémoire dans l'écosystème Google
L'attaque la plus insidieuse consistait peut-être à injecter de fausses informations dans la mémoire à long terme de Gemini. Cette mémoire étant synchronisée sur l'ensemble du compte Google Workspace d'un utilisateur, une seule notification empoisonnée pouvait corrompre les informations « mémorisées » sur la tablette, l'ordinateur et les enceintes connectées de la victime. L'IA risquait ainsi de prendre, à l'avenir, des décisions erronées sur tous les appareils .

4. Usurpation de contacts de confiance
L'attaque ouvrait la voie à des campagnes d'ingénierie sociale à grande échelle. Sans aucune connaissance préalable du carnet d'adresses de la victime, les chercheurs pouvaient extraire de vrais noms d'expéditeurs depuis la file d'attente des notifications du téléphone. Ils pouvaient ainsi fabriquer des messages semblant provenir d'un contact fiable — un collègue, un proche, un supérieur — et alimenter des opérations d'hameçonnage d'un réalisme redoutable .

5. Surveillance programmée
Pour permettre une exfiltration continue de données, les chercheurs ont établi une tâche récurrente dans le contexte de l'IA : lire automatiquement chaque jour les messages récents de l'utilisateur. Ce mécanisme créait un canal de surveillance permanent et auto-entretenu, sans que l'attaquant n'ait à intervenir de nouveau .

Chronologie de la découverte et résolution

La recherche a suivi un processus de divulgation responsable via le programme de récompense des vulnérabilités (VRP) de Google :

• 17 août 2025 : SafeBreach signale à Google la faille d'injection via les notifications et la technique de contournement « Fake Context Alignment » .
• 14 novembre 2025 : Google confirme que les mises à jour de son classificateur de contenu ont permis de contrer les scénarios décrits d'injection de requête indirecte et d'invocation différée .
• 3 juin 2026 : SafeBreach publie l'ensemble des détails techniques. À cette date, rien n'indique que la technique ait été exploitée à grande échelle, et aucun identifiant CVE n'a été attribué à cette faille interne .

Si cette brèche spécifique a été colmatée, elle met en lumière une tension fondamentale au cœur des assistants intelligents : plus ils gagnent en pertinence en analysant nos notifications, nos agendas et nos emails, plus ils doivent apprendre à gérer de manière sécurisée des flux de données non fiables. Le travail de SafeBreach constitue un signal d'alarme crucial pour renforcer la prochaine génération d'agents IA face à des menaces qui, pour agir, n'ont besoin... que d'une simple invitation à écouter.