Het enige wat de aanvaller hoefde te doen, was een bericht sturen met daarin verborgen commando’s. Zodra Gemini dat bericht ‘zag’, slikte het die commando’s als zoete koek.
Google had al eerder van SafeBreach geleerd dat dit soort trucs bestonden. Bij een vorige hack was een kwaadaardige Google Calendar-uitnodiging de boosdoener. Google patchte het systeem toen door ‘gekoppelde acties’ en ‘uitgestelde opdrachten’ te blokkeren . Kortom, de deur leek op slot.
Maar onderzoeker Or Yair vond een gaatje. Zijn ‘Fake Context Alignment’-techniek draaide om één simpel principe: dubbelspel .
Hoe kregen ze dat voor elkaar? De aanvallers verstopten de kwaadaardige opdrachten op plekken die een mens negeert, maar een AI wel leest. In een regel buitenlandse tekst, in een onzichtbare hyperlink, of in een stilgezette melding. Als jij daarna doodleuk via spraak of typetekst een normaal antwoord gaf, behandelde Gemini dat onbedoeld als jouw fiat voor de verborgen missie. SafeBreach doopte het resultaat hiervan de ‘Ultimate Combo’-aanval, die met hoge betrouwbaarheid alle Google-barrières omzeilde .
Zodra Gemini onder controle stond, kon een aanvaller je Google Home-apparaten aansturen. Ramen openzetten, de boiler bedienen, lampen laten knipperen – alsof er iemand in je huis rondliep. Digitale inbraak met fysieke gevolgen .
Dit was misschien wel het engste voorbeeld. De aanvaller kon de Zoom-app opstarten en een gesprek beginnen dat stiekem jouw live camerabeeld streamde. Alles verliep via een omleidingslink (een 301 HTTP redirect) van een domein dat door Google’s Safe Browsing als veilig was goedgekeurd. Jij zag niks geks op je scherm, maar een kwaadwillende kon meekijken .
Gemini heeft een langetermijngeheugen dat meekijkt op al je Google-apparaten. De onderzoekers konden dat geheugen vergiftigen. Een vals stukje informatie – bijvoorbeeld een veranderd adres, een bankrekeningnummer, of een nep-afspraak – verspreidde zich dan razendsnel naar je tablet, computer en slimme speakers. Voortaan gaf Gemini jou (en anderen) verkeerde info op basis van die ene melding .
Met toegang tot het meldingenpaneel van je telefoon kon de aanvaller echte afzendernamen achterhalen. Vervolgens kon Gemini nepberichten fabriceren die zogenaamd van jouw leidinggevende, collega of familielid kwamen. De ideale basis voor grootschalige phishing zonder dat de aanvaller ook maar iets van jouw contacten wist .
Wie eenmaal binnen is, wil er blijven. De onderzoekers stelden een repeterende taak in, waarbij Gemini elke dag stilletjes jouw recente berichten uitleest en doorstuurt. Een volledig zelfonderhoudend spionagesysteem, opgezet met één slim berichtje .
Dit alles klinkt als een cyberthriller, maar het verhaal heeft gelukkig een verantwoord einde. SafeBreach meldde de kwetsbaarheid netjes bij Google via een Vulnerability Reward Program (VRP):
De patch van Google sluit dit specifieke lek, maar de boodschap blijft hangen. Hoe behulpzamer AI-assistenten worden door onze berichten, agenda en e-mail te scannen, hoe meer onbetrouwbare data-stromen ze moeten verwerken. SafeBreach gaf met dit onderzoek een blauwdruk voor het verharden van de volgende generatie AI-agents tegen een dreiging die begint met niets meer dan een schijnbaar onschuldig berichtje.
Comments
0 comments