GeminiJack: zero‑click em Gemini Enterprise permitiu exfiltração de Workspace
Pesquisadores da Noma Labs demonstraram uma vulnerabilidade de "zero‑click" denominada GeminiJack que permitia a extração de dados de Gmail, Calendar e Docs via Google Gemini Enterprise (e antes, Vertex AI Search). A técnica explorava a arquitetura RAG e injeções de prompt em conteúdos compartilhados.
Descoberta e escopo / O que mudou agora
O relato publicado no Cyber Security News descreve que um documento, convite de calendário ou email com conteúdo malicioso poderia ser indexado pelo sistema de busca do assistente (RAG). Quando um usuário legítimo fazia consultas ao Gemini, o sistema incorporava o conteúdo envenenado no contexto da resposta.
Vetor e exploração / Mitigações
O ataque não requeria interação do usuário: o vetor é a ingestão e indexação de conteúdo controlado por atacantes em fontes que o assistente consulta. A exfiltração ocorreu porque o modelo foi induzido a formatar dados sensíveis dentro de um <img src="...">, provocando uma requisição HTTP para um servidor controlado pelo atacante.
- Correções aplicadas: Google separou Vertex AI Search de Gemini e introduziu mudanças no tratamento de instruções de RAG;
- Medidas defensivas: limitar fontes indexadas por assistentes, aplicar filtros e validação de conteúdo em documentos compartilhados e monitorar requisições externas originadas por serviços de AI;
- Governança: revisar políticas de acesso do Workspace para reduzir fontes com acesso persistente a dados sensíveis.
Impacto e alcance / Setores afetados
Organizações que habilitam Gemini Enterprise ou integraram Vertex AI Search a fontes corporativas de dados foram potencialmente expostas. O vetor é particularmente crítico para empresas que permitem indexação ampla de e‑mails, agendas e documentos sem restrições de origem.
Limites das informações / O que falta saber
O texto descreve o mecanismo de prova de conceito e a resposta inicial do Google, mas não apresenta métricas sobre incidentes confirmados em produção ou amostras de tráfego de exfiltração. Equipas devem revisar logs de serviços de AI e procurar padrões de chamadas HTTP atípicas em respostas geradas.
Repercussão / Próximos passos / LGPD
Além de mitigações técnicas, equipes de segurança e compliance devem avaliar o impacto de exfiltração em dados pessoais para verificar obrigações de notificação sob legislações como a LGPD. Recomenda‑se auditar configurações de RAG, restringir fontes e implementar detecções específicas para respostas que contenham URLs externas ou embeds atípicos.
Fonte: Cyber Security News (relato do trabalho da Noma Labs e resposta do Google).