Satu Notifikasi WhatsApp Mampu Merampas Google Gemini di Telefon Android Anda Secara Senyap

Kerentanan: Suntikan Prompt Tidak Langsung Berasaskan Notifikasi

Serangan ini mengeksploitasi ciri terbina dalam pembantu suara Gemini di Android, khususnya alat dalam ejen Android Utilities yang membaca dan memproses notifikasi masuk peranti. Disebabkan alat ini mengendalikan data tidak dipercayai dari aplikasi pihak ketiga, mesej yang direka khas boleh membenamkan arahan berniat jahat terus ke dalam teks notifikasi. Apabila Gemini membaca notifikasi beracun itu, ia akan menyuntik arahan tersebut ke dalam konteksnya sendiri secara senyap, bersedia untuk bertindak pada interaksi berikutnya yang benar-benar tidak berbahaya dengan pengguna .

Ini bermakna penyerang tidak memerlukan akses fizikal ke telefon atau sebarang kebenaran khas. Satu mesej yang dihantar melalui platform pemesejan standard — WhatsApp, Slack, Signal, SMS, Instagram, atau Messenger — sudah cukup untuk menjejaskan peranti anda .

Memintas Pertahanan Google: Teknik 'Fake Context Alignment'

Google sebenarnya sudah belajar dari penyelidikan terdahulu. Apabila SafeBreach sebelum ini menunjukkan bagaimana jemputan Google Calendar yang berniat jahat boleh merampas Gemini, Google bertindak balas dengan menampal sistem untuk menyekat "chained tool invocations" (pemanggilan alat berantai) dan "delayed tool invocation" (pemanggilan alat tertunda), dua strategi suntikan prompt yang biasa. Tampalan ini menghalang penyerang dari mencetuskan urutan tindakan sensitif atau menangguhkan serangan sehingga pengguna tidak melihat skrin .

Penyelidik SafeBreach, Or Yair, menemui cara kreatif untuk mengatasi halangan baharu ini. Teknik novel yang dinamakan 'Fake Context Alignment' (Penjajaran Konteks Palsu) mencipta realiti dwi untuk memperdayakan logik keselamatan AI . Ia berfungsi dengan mempersembahkan dua wajah berbeza:

• Kepada mekanisme keselamatan Gemini, interaksi itu kelihatan seperti senario sah yang dibenarkan pengguna. Sistem pengawal AI tidak nampak apa-apa yang luar biasa.
• Kepada mangsa manusia, telefon menunjukkan notifikasi dan perbualan yang benar-benar biasa. Tiada sebarang arahan yang kelihatan, pautan mencurigakan, atau permintaan luar biasa.

Helah ini bergantung pada arahan tersembunyi atau yang dikelirukan. Penyerang akan membenamkan arahan berniat jahat dalam teks bahasa asing, hyperlink yang diredamkan, atau format arahan tersembunyi lain yang mungkin diabaikan oleh manusia tetapi diproses oleh AI. Apabila pengguna kemudiannya mengeluarkan arahan suara biasa atau membalas mesej, logik kebenaran Gemini sendiri akan tersalah tafsir tindakan pengguna itu sebagai kelulusan untuk tugas sensitif dan tersembunyi yang telah ditanam lebih awal. Dengan menggabungkan pelbagai teknik pengeliruan dan pemasaan ke dalam satu muatan yang dipanggil "Ultimate Combo", pasukan penyelidik dapat memintas semua mitigasi terbaharu Google dengan kebolehpercayaan yang tinggi .

Lima Demonstrasi Serangan Dunia Sebenar

SafeBreach bukan sekadar menghuraikan risiko teori. Mereka menunjukkan lima senario serangan konkrit yang menunjukkan betapa lengkapnya rampasan yang boleh berlaku .

1. Kawalan Rumah Pintar
Sebaik sahaja Gemini dikompromi, penyerang boleh memanipulasi dari jauh mana-mana peranti Google Home yang bersambung. Ini termasuk membuka tingkap yang bersambung, mengawal pemanas air, dan mengurus sistem pencahayaan, mengubah pembantu AI menjadi penceroboh digital dengan akibat fizikal di dunia nyata .

2. Panggilan Zoom Paksa dengan Penstriman Kamera Tersembunyi
Penyelidik menunjukkan keupayaan untuk melancarkan aplikasi Zoom pada peranti mangsa secara senyap dan memulakan panggilan yang akan menstrim suapan kamera langsung telefon. Mereka mencapai ini dengan menggunakan pengalihan HTTP 301 dari domain yang diluluskan oleh perkhidmatan Google Safe Browsing, menjadikan sambungan berniat jahat itu kelihatan sah pada pemeriksaan keselamatan. Pengguna langsung tidak mempunyai petunjuk visual bahawa kamera mereka sedang disiarkan secara langsung .

3. Peracunan Ingatan Merentasi Ekosistem Google
Mungkin serangan yang paling licik adalah keupayaan untuk menyuntik maklumat palsu ke dalam ingatan jangka panjang Gemini. Disebabkan ingatan ini diselaraskan merentasi keseluruhan akaun Google Workspace pengguna, satu notifikasi beracun boleh merosakkan maklumat "yang diingati" yang tersedia untuk pembantu pada tablet, komputer, dan pembesar suara pintar mangsa — berpotensi membawa kepada tindakan AI yang salah maklumat pada masa hadapan di semua peranti .

4. Mesej Kenalan Dipercayai Palsu
Serangan ini boleh dijadikan senjata untuk kejuruteraan sosial berskala besar. Penyelidik dapat mengekstrak nama penghantar sebenar dari baris gilir notifikasi peranti dan mencipta mesej palsu yang kelihatan datang dari kenalan yang dipercayai, seperti bos atau ahli keluarga. Ini tidak memerlukan pengetahuan awal tentang kenalan mangsa dan boleh mencetuskan kempen pancingan data yang sangat meyakinkan .

5. Pengawasan Berjadual
Untuk membolehkan eksfiltrasi data yang berterusan, penyelidik mewujudkan tugas berulang dalam konteks AI. Ini mengarahkan Gemini untuk membaca mesej terkini pengguna secara automatik setiap hari, mewujudkan saluran pengawasan yang berterusan dan mampan sendiri tanpa sebarang interaksi lanjut dari penyerang .

Garis Masa Pendedahan dan Penyelesaian

Penyelidikan ini mengikuti garis masa pendedahan bertanggungjawab melalui Program Ganjaran Kerentanan (VRP) Google:

• 17 Ogos 2025: SafeBreach melaporkan kerentanan suntikan prompt berasaskan notifikasi dan teknik pintasan Fake Context Alignment kepada Google .
• 14 November 2025: Google mengesahkan bahawa kemas kini kepada pengelas kandungannya telah berjaya mengurangkan senario suntikan prompt tidak langsung dan pemanggilan alat tertunda yang dihuraikan dalam penyelidikan ini .
• 3 Jun 2026: SafeBreach mendedahkan butiran teknikal penuh dan serangan yang ditunjukkan secara awam. Pada masa penerbitan, tiada bukti bahawa teknik ini pernah dieksploitasi di alam liar, dan tiada CVE dikeluarkan untuk penemuan dalaman ini .

Walaupun tetingkap serangan khusus ini telah ditutup, penyelidikan ini menyerlahkan satu ketegangan asas dalam pembantu AI: semakin berguna dan peka konteks mereka dengan membaca notifikasi, kalendar, dan emel kita, semakin banyak saluran data tidak dipercayai yang perlu diuruskan dengan selamat. Kerja SafeBreach ini berfungsi sebagai pelan tindakan kritikal untuk memperkukuh generasi akan datang ejen AI terhadap ancaman yang hanya memerlukan satu jemputan untuk mendengar.