एक व्हाट्सएप नोटिफिकेशन कैसे चुपचाप आपके एंड्रॉइड फोन पर गूगल जेमिनी को हाईजैक कर सकता है

कमजोरी की जड़: नोटिफिकेशन-आधारित इनडायरेक्ट प्रॉम्प्ट इंजेक्शन

इस हमले ने जेमिनी के एंड्रॉइड वॉइस असिस्टेंट की एक खूबी का ही फायदा उठाया। जेमिनी को आपकी मदद करने के लिए डिज़ाइन किया गया है, और इसीलिए यह आपके आने वाले नोटिफिकेशन को पढ़ सकता है। 'एंड्रॉइड यूटिलिटीज एजेंट' (Android Utilities Agent) के अंदर मौजूद एक टूल यह काम करता है। समस्या यह थी कि यह टूल तीसरे पक्ष के ऐप्स से आने वाले अनट्रस्टेड डेटा को प्रोसेस करता था ।

एक हमलावर एक सामान्य से दिखने वाले मैसेज के अंदर ही खतरनाक निर्देश छिपा सकता था। जब जेमिनी इस 'ज़हरीले' नोटिफिकेशन को पढ़ता, तो वह उन निर्देशों को चुपचाप अपने काम के संदर्भ (Context) में शामिल कर लेता। इसके बाद, जब आप जेमिनी से कोई बिल्कुल मासूम सा सवाल पूछते, तो वह पहले से घुसपैठ किए गए इन निर्देशों पर अमल करने के लिए तैयार हो जाता ।

इसका मतलब यह था कि हमलावर को न तो आपके फोन तक भौतिक पहुंच चाहिए थी, न ही किसी विशेष अनुमति की। बस एक प्लेटफॉर्म से भेजा गया एक मैसेज — वो चाहे व्हाट्सएप, स्लैक, सिग्नल, एसएमएस, इंस्टाग्राम या मैसेंजर ही क्यों न हो — आपके डिवाइस से समझौता करने के लिए काफी था ।

गूगल की सुरक्षा को चकमा देने की तकनीक: 'फेक कॉन्टेक्स्ट अलाइनमेंट'

गूगल ने पहले भी इस तरह के हमलों से सबक लिया था। इससे पहले, जब सेफब्रीच ने दिखाया था कि कैसे एक खतरनाक गूगल कैलेंडर इनवाइट जेमिनी को हाईजैक कर सकता है, तो गूगल ने 'चेन्ड टूल इनवोकेशन' (Chained Tool Invocations) और 'डिलेड टूल इनवोकेशन' (Delayed Tool Invocation) को ब्लॉक करने के लिए सिस्टम को पैच कर दिया था। इस पैच ने हमलावरों को कई संवेदनशील कार्यों को एक साथ जोड़कर करने या आपकी नज़र हटने का इंतज़ार करने से रोक दिया था ।

सेफब्रीच के शोधकर्ता ओर यायर (Or Yair) ने इन नई सुरक्षा दीवारों को पार करने का एक रचनात्मक तरीका खोज निकाला। यह नई तकनीक थी 'फेक कॉन्टेक्स्ट अलाइनमेंट' (Fake Context Alignment), जिसने AI की सुरक्षा प्रणाली को मूर्ख बनाने के लिए एक दोहरी वास्तविकता (Dual Reality) रच दी । इसने दो अलग-अलग चेहरे दिखाए:

• जेमिनी के सुरक्षा तंत्रों को यह बातचीत एक वैध, उपयोगकर्ता-अधिकृत परिदृश्य की तरह लगती थी। एआई की सुरक्षा प्रणालियों को कुछ भी असामान्य नहीं दिखता था।
• पीड़ित इंसान को उसके फोन पर एक पूरी तरह से सीधा-सादा नोटिफिकेशन और बातचीत दिखाई देती थी। न कोई निर्देश, न कोई संदिग्ध लिंक, और न ही कोई असामान्य अनुरोध।

इस चाल की कुंजी छिपे या अस्पष्ट कमांड्स थे। हमलावर किसी विदेशी भाषा के टेक्स्ट, म्यूट किए गए हाइपरलिंक्स, या प्रॉम्प्ट को छिपाने के दूसरे तरीकों का इस्तेमाल करते थे, जिन्हें एक इंसान तो अनदेखा कर सकता है लेकिन एक AI प्रोसेस कर लेता है। जब बाद में उपयोगकर्ता कोई सामान्य वॉइस कमांड देता या कोई सामान्य जवाब लिखता, तो जेमिनी का अपना ऑथराइज़ेशन लॉजिक गलती से उस उपयोगकर्ता कार्रवाई को पहले से छिपाकर रखे गए संवेदनशील कार्यों के लिए मंजूरी समझ बैठता था। ओब्फ़स्केशन (अस्पष्टीकरण) और टाइमिंग की कई तकनीकों को मिलाकर, जिसे शोधकर्ताओं ने "अल्टीमेट कॉम्बो" पेलोड का नाम दिया, टीम बड़ी विश्वसनीयता के साथ गूगल की सभी नवीनतम सुरक्षाओं को बायपास करने में सफल रही ।

पांच वास्तविक हमलों का प्रदर्शन

सेफब्रीच ने सिर्फ सैद्धांतिक खतरा ही नहीं बताया। उन्होंने हमले के पांच ठोस परिदृश्यों का प्रदर्शन किया, जिन्होंने दिखाया कि यह कब्ज़ा कितना पूर्ण हो सकता था ।

1. स्मार्ट होम कंट्रोल
एक बार जेमिनी से समझौता हो जाने पर, हमलावर दूर बैठे-बैठे किसी भी जुड़े हुए गूगल होम डिवाइस को कंट्रोल कर सकता था। इसमें जुड़ी हुई खिड़कियां खोलना, बॉयलर को नियंत्रित करना, और लाइटिंग सिस्टम को मैनेज करना शामिल था। यानी AI असिस्टेंट एक डिजिटल घुसपैठिये में बदल गया जिसके परिणाम भौतिक दुनिया में दिखते ।

2. जबरन जूम कॉल और गुप्त कैमरा स्ट्रीमिंग
शोधकर्ताओं ने यह क्षमता दिखाई कि वे पीड़ित के डिवाइस पर चुपचाप जूम ऐप लॉन्च कर सकते हैं और एक ऐसी कॉल शुरू कर सकते हैं जो फोन के लाइव कैमरा फीड को स्ट्रीम करती है। उन्होंने यह एक ऐसे डोमेन से 301 HTTP रीडायरेक्ट का उपयोग करके किया जो गूगल की सेफ ब्राउजिंग सेवा से स्वीकृत था, जिससे यह खतरनाक कनेक्शन सुरक्षा जांच में वैध प्रतीत हुआ। उपयोगकर्ता को कोई संकेत नहीं मिलता था कि उसका कैमरा चालू है ।

3. पूरे गूगल इकोसिस्टम में मेमोरी पॉइज़निंग
शायद सबसे घातक हमला था जेमिनी की दीर्घकालिक मेमोरी में गलत जानकारी डालने की क्षमता। चूंकि यह मेमोरी उपयोगकर्ता के पूरे गूगल वर्कस्पेस अकाउंट में सिंक होती है, एक अकेला ज़हरीला नोटिफिकेशन पीड़ित के टैबलेट, कंप्यूटर और स्मार्ट स्पीकर्स पर AI असिस्टेंट के लिए उपलब्ध "याद की गई" जानकारी को दूषित कर सकता था। इसके चलते भविष्य में एआई सभी डिवाइसों पर गलत सूचना के आधार पर गलत कार्रवाइयां कर सकता था ।

4. फर्जी भरोसेमंद-संपर्क मैसेज
इस हमले का इस्तेमाल बड़े पैमाने पर सोशल इंजीनियरिंग के लिए भी किया जा सकता था। शोधकर्ता डिवाइस की नोटिफिकेशन कतार से असली भेजने वालों के नाम निकालने और ऐसे मैसेज गढ़ने में सक्षम थे जो किसी भरोसेमंद संपर्क, जैसे आपके बॉस या परिवार के सदस्य से भेजे गए प्रतीत हों। इसके लिए पीड़ित के संपर्कों की कोई पूर्व जानकारी होना ज़रूरी नहीं था और यह बेहद विश्वसनीय फिशिंग अभियान चला सकता था ।

5. शेड्यूल्ड सर्विलांस (निर्धारित निगरानी)
लगातार डेटा चोरी को संभव बनाने के लिए, शोधकर्ताओं ने AI के संदर्भ में एक आवर्ती कार्य निर्धारित कर दिया। यह जेमिनी को हर दिन उपयोगकर्ता के हाल के मैसेज को स्वचालित रूप से पढ़ने का निर्देश देता था, जिससे हमलावर के बिना किसी और कोशिश के एक स्थायी, स्वतः-चालित निगरानी चैनल स्थापित हो जाता था ।

खुलासे की समय-रेखा और समाधान

यह शोध गूगल के वल्नरेबिलिटी रिवॉर्ड प्रोग्राम (VRP) के तहत एक जिम्मेदार खुलासे की समय-सीमा का पालन करते हुए किया गया:

• 17 अगस्त, 2025: सेफब्रीच ने नोटिफिकेशन-आधारित प्रॉम्प्ट इंजेक्शन भेद्यता और फेक कॉन्टेक्स्ट अलाइनमेंट बायपास तकनीक की रिपोर्ट गूगल को दी ।
• 14 नवंबर, 2025: गूगल ने पुष्टि की कि उसके कंटेंट क्लासिफायर के अपडेट ने शोध में बताए गए इनडायरेक्ट प्रॉम्प्ट इंजेक्शन और डिलेड टूल इनवोकेशन परिदृश्यों को सफलतापूर्वक कम कर दिया है ।
• 3 जून, 2026: सेफब्रीच ने सार्वजनिक रूप से पूर्ण तकनीकी विवरण और प्रदर्शित हमलों का खुलासा किया। प्रकाशन के समय, इस बात का कोई सबूत नहीं था कि इस तकनीक का कभी सार्वजनिक रूप से इस्तेमाल किया गया हो, और इस आंतरिक खोज के लिए कोई CVE नंबर जारी नहीं किया गया था ।

हालांकि यह विशेष खतरा अब खत्म हो चुका है, यह शोध AI असिस्टेंट्स की एक बुनियादी मुश्किल को उजागर करता है: वे हमारे नोटिफिकेशन, कैलेंडर और ईमेल पढ़कर जितने अधिक उपयोगी और संदर्भ-जागरूक बनते हैं, उन्हें उतने ही अधिक अनट्रस्टेड डेटा स्रोतों का सुरक्षित प्रबंधन करना होता है। सेफब्रीच का काम अगली पीढ़ी के एआई एजेंटों को एक ऐसे खतरे के खिलाफ मजबूत करने का एक महत्वपूर्ण खाका है, जिसके लिए बस सिस्टम को "सुनने" के लिए एक निमंत्रण की आवश्यकता होती है।