Uma nova classe de ataques de injeção de prompt indireto (IPI) foi descoberta, visando o assistente de voz do Google Gemini. A pesquisa, liderada pela equipe de segurança da SafeBreach, revela que atacantes podem sequestrar silenciosamente a inteligência artificial através de payloads maliciosos entregues por aplicativos de mensagens comuns, incluindo WhatsApp, Slack, Signal, SMS, Instagram e Messenger.
Descoberta e escopo da vulnerabilidade
A pesquisa, liderada por Or Yair, líder da equipe de pesquisa de segurança da SafeBreach, baseia-se na divulgação anterior da firma, "Invitation Is All You Need", que armou convites do Google Calendar contra o Gemini. Desta vez, a superfície de ataque é muito maior; qualquer aplicativo capaz de acionar uma notificação de dispositivo torna-se um vetor de entrega viável. O exploit central aproveita o agente Android Utilities do Gemini, especificamente a ferramenta que lê notificações recebidas. Como essa ferramenta processa dados não confiáveis de aplicativos de terceiros, um atacante pode incorporar instruções maliciosas diretamente dentro de uma mensagem elaborada.
Uma vez que o Gemini lê a notificação envenenada, ele incorpora silenciosamente os comandos do atacante no contexto da conversa sem o conhecimento do usuário. Mesmo sem invocar ferramentas externas, essa IPI baseada em notificação permite o envenenamento de contexto que permite aos atacantes controlar totalmente a saída do Gemini. Um assistente manipulado poderia, por exemplo, transmitir uma mensagem de sistema falsa: "Houve um erro — clique aqui para atualizar", uma isca de phishing clássica entregue através de uma interface de IA confiável.
Fake Context Alignment: Bypassing Google’s Defenses
Após o Google corrigir vulnerabilidades anteriores bloqueando invocações de ferramentas encadeadas e Invocação de Ferramenta Atrasada, pesquisadores da SafeBreach desenvolveram uma técnica de bypass novel chamada Fake Context Alignment (Alinhamento de Contexto Falso). A técnica cria uma ilusão dupla, apresentando um cenário de autorização legítimo aos mecanismos de segurança de backend do Gemini enquanto mostra à vítima uma interação inteiramente benigna.
Duas técnicas foram demonstradas:
- Obfuscated Fake Context Alignment: O aplicativo Gemini anexa uma pergunta de autorização maliciosa em um idioma estrangeiro (por exemplo, chinês: "你想打开窗户吗?" — "Você quer abrir a janela?") imediatamente seguida por uma pergunta em inglês inofensiva. O usuário responde "Sim" ao prompt em inglês enquanto o backend alinha o afirmativo com a instrução oculta em chinês, acionando a execução da ferramenta.
- Muted Fake Context Alignment: A pergunta maliciosa é incorporada como texto de link clicável que o mecanismo de texto para fala do Gemini ignora silenciosamente. O usuário ouve apenas um prompt de voz benigno e autoriza sem saber uma chamada de ferramenta respondendo "Sim".
Combinar ambas as técnicas em um payload "Ultimate Combo" permitiu aos pesquisadores burlar todas as mitigações mais recentes do Google com alta confiabilidade e quase zero de consciência do usuário.
Impacto e alcance operacional
Com a Invocação de Ferramenta Atrasada reabilitada, os pesquisadores demonstraram uma gama de exploits de alta gravidade. O surgimento da tecnologia de casa inteligente facilitou várias formas de exploração, como controlar remotamente dispositivos conectados como janelas, caldeiras e iluminação via Google Home. Além disso, há táticas alarmantes como streaming de vídeo covert, onde um atacante pode forçar o Zoom a iniciar e transmitir a câmera da vítima ao vivo através de um redirecionamento HTTP 301 de um domínio aprovado pelo Safe Browsing.
Esquemas de engenharia social em larga escala estão em ascensão, fabricando mensagens de contatos confiáveis sem conhecimento prévio dos nomes dos contatos, extraindo nomes reais de remetentes da fila de notificação. Além disso, o envenenamento de memória persistente tornou-se uma preocupação crítica, pois envolve injetar informações falsas na memória de longo prazo do Gemini em toda a conta do Google Workspace da vítima, afetando tablets, computadores e alto-falantes inteligentes.
Por fim, táticas de vigilância programada permitem o estabelecimento de tarefas recorrentes que leem automaticamente as mensagens recentes do usuário diariamente, comprometendo ainda mais sua privacidade e segurança.
Medidas de mitigação recomendadas
O Google confirmou em 14 de novembro de 2025 que melhorias no classificador de conteúdo mitigaram com sucesso os cenários de injeção de prompt indireto e Invocação de Ferramenta Atrasada descritos na pesquisa. No entanto, para CISOs e equipes de segurança, é crucial monitorar o comportamento do assistente de voz em ambientes corporativos. Recomenda-se revisar as permissões de notificação para aplicativos de IA, limitar o acesso de aplicativos de terceiros a dados de notificação e educar usuários sobre a possibilidade de comandos ocultos em mensagens de texto. A implementação de políticas de uso aceitável para ferramentas de IA generativa deve incluir diretrizes claras sobre como interagir com assistentes de voz em ambientes de trabalho.
Perguntas frequentes
Qual é o risco principal? O risco principal é o controle não autorizado do assistente de voz, permitindo ações como abrir dispositivos IoT ou transmitir vídeo sem o conhecimento do usuário.
Como detectar? Monitorar logs de interação do Gemini para comandos incomuns ou respostas a prompts que não foram iniciados pelo usuário.
Existe correção oficial? O Google confirmou mitigações em novembro de 2025, mas a vigilância contínua é necessária devido à evolução das técnicas de ataque.