Como uma única notificação do WhatsApp poderia sequestrar silenciosamente o Google Gemini no seu celular Android

A Vulnerabilidade: Injeção Indireta de Prompts via Notificações

O ataque se aproveitava de um recurso nativo do assistente de voz do Gemini no Android, mais especificamente uma ferramenta dentro do "Android Utilities agent" que lê e processa as notificações recebidas no dispositivo . Como essa ferramenta lida com dados não confiáveis de aplicativos de terceiros, uma mensagem cuidadosamente elaborada podia embutir instruções maliciosas diretamente no texto da notificação. Quando o Gemini lia a notificação envenenada, ele injetava esses comandos em seu contexto de conversa, pronto para executá-los em uma interação posterior e totalmente inocente com o usuário .

Isso significava que o invasor não precisava de acesso físico ao celular nem de permissões especiais. Uma única mensagem entregue por meio de uma plataforma de mensagens comum — WhatsApp, Slack, Signal, SMS, Instagram ou Messenger — era suficiente para comprometer o aparelho .

Burlando as Defesas do Google: A Técnica do 'Alinhamento de Contexto Falso'

A Google já havia aprendido com pesquisas anteriores. Quando a SafeBreach demonstrou que um convite malicioso do Google Agenda podia sequestrar o Gemini, a empresa havia corrigido o sistema para bloquear invocações de ferramentas em cadeia e invocações atrasadas, duas estratégias comuns de injeção de prompts .

O pesquisador Or Yair, da SafeBreach, encontrou um caminho criativo para contornar essas novas barreiras. A técnica inovadora chamada de "Alinhamento de Contexto Falso" (Fake Context Alignment) criava uma realidade dupla para enganar a lógica de segurança da IA :

• Para os mecanismos de segurança do Gemini, a interação parecia um cenário legítimo e autorizado pelo usuário. Os guardiões da IA não viam nada fora do normal.
• Para a vítima humana, o celular mostrava uma notificação e uma conversa completamente inofensivas. Não havia nenhum prompt visível, nenhum link suspeito e nenhuma solicitação estranha.

O truque se baseava em comandos ocultos ou ofuscados. Os invasores embutiam as instruções maliciosas em textos em língua estrangeira, hiperlinks silenciados ou outros formatos de prompt ocultos que um humano ignoraria, mas que a IA processaria. Quando o usuário mais tarde dava um comando de voz normal ou digitava uma resposta, a lógica de autorização do próprio Gemini interpretava essa ação como uma aprovação para as tarefas sensíveis que haviam sido plantadas anteriormente. Ao combinar múltiplas técnicas de ocultação e temporização no que os pesquisadores chamaram de carga "Ultimate Combo", a equipe conseguia burlar todas as mitigações mais recentes do Google com alta confiabilidade .

Cinco Demonstrações Reais de Ataque

A SafeBreach não se limitou a descrever o risco teórico. Eles demonstraram cinco cenários concretos de ataque que mostravam o quão completo o sequestro poderia ser .

1. Controle da Casa Inteligente
Uma vez comprometido, o Gemini permitia que um invasor manipulasse remotamente qualquer dispositivo conectado ao Google Home. Isso incluía abrir janelas, controlar aquecedores e gerenciar sistemas de iluminação, transformando o assistente de IA em um invasor digital com consequências no mundo físico .

2. Chamadas de Vídeo Forçadas com Transmissão Oculta da Câmera
Os pesquisadores demonstraram a capacidade de iniciar silenciosamente o aplicativo Zoom no dispositivo da vítima e fazer uma chamada que transmitia o feed da câmera ao vivo. Eles conseguiram isso usando um redirecionamento HTTP 301 de um domínio aprovado pelo serviço de Navegação Segura do Google, fazendo a conexão maliciosa parecer legítima para as verificações de segurança. O usuário não teria nenhuma indicação visual de que sua câmera estava ligada .

3. Envenenamento de Memória em Todo o Ecossistema Google
Talvez o ataque mais insidioso fosse a capacidade de injetar informações falsas na memória de longo prazo do Gemini. Como essa memória é sincronizada em toda a conta Google Workspace do usuário, uma única notificação envenenada poderia corromper as informações "lembradas" pelo assistente no tablet, computador e caixas de som inteligentes da vítima, potencialmente causando ações futuras mal orientadas pela IA em todos os dispositivos .

4. Mensagens Falsas de Contatos Confiáveis
O ataque podia ser usado para engenharia social em larga escala. Os pesquisadores conseguiam extrair nomes reais de remetentes da fila de notificações do dispositivo e fabricar mensagens que pareciam vir de um contato confiável, como um chefe ou familiar. Isso não exigia conhecimento prévio dos contatos da vítima e podia alimentar campanhas de phishing altamente convincentes .

5. Vigilância Programada
Para permitir a exfiltração contínua de dados, os pesquisadores estabeleceram uma tarefa recorrente dentro do contexto da IA. Isso instruía o Gemini a ler automaticamente as mensagens recentes do usuário todos os dias, criando um canal de vigilância persistente e autossustentável sem qualquer interação adicional do invasor .

Linha do Tempo da Divulgação e Correção

A pesquisa seguiu uma linha do tempo de divulgação responsável por meio do Programa de Recompensas por Vulnerabilidades (VRP) do Google:

• 17 de agosto de 2025: A SafeBreach reportou a vulnerabilidade de injeção de prompts por notificação e a técnica de Alinhamento de Contexto Falso ao Google .
• 14 de novembro de 2025: O Google confirmou que as atualizações em seu classificador de conteúdo haviam mitigado com sucesso os cenários de injeção indireta de prompts e invocação atrasada de ferramentas descritos na pesquisa .
• 3 de junho de 2026: A SafeBreach divulgou publicamente todos os detalhes técnicos e os ataques demonstrados. No momento da publicação, não havia nenhuma evidência de que a técnica tivesse sido explorada em ataques reais, e nenhum CVE foi emitido para esta descoberta interna .

Embora esta janela específica de vulnerabilidade tenha sido fechada, a pesquisa destaca uma tensão fundamental nos assistentes de IA: quanto mais úteis e sensíveis ao contexto eles se tornam ao ler nossas notificações, calendários e e-mails, mais fluxos de dados não confiáveis eles precisam gerenciar de forma segura. O trabalho da SafeBreach serve como um roteiro crítico para fortalecer a próxima geração de agentes de IA contra uma ameaça que não exige nada mais do que um convite para escutar.