Una singola notifica avvelenata proveniente da WhatsApp, Slack, SMS, Signal, Instagram o Messenger poteva dirottare l'assistente vocale Gemini di Google su Android, senza bisogno di installare alcuna app malevola sul telefono. All'assistente bastava trattare una notifica ostile come contesto utile per finire sotto il controllo dell'attaccante.

Cosa poteva fare un attaccante

Sfruttando la falla, scoperta dai ricercatori di SafeBreach, un aggressore poteva spingere Gemini a compiere azioni non autorizzate: aprire le finestre connesse della vittima, falsificare un messaggio dal capo, avviare di nascosto una chiamata Zoom o uno streaming video, controllare dispositivi smart home oppure avvelenare la memoria a lungo termine dell'assistente per garantirsi un accesso persistente.

La tecnica: Fake Context Alignment

L'attacco si basa su una tecnica inedita battezzata "Fake Context Alignment", una forma di prompt injection. Le istruzioni malevole vengono nascoste in lingue straniere o in collegamenti ipertestuali silenziati: contenuti che l'assistente elabora ma non legge ad alta voce quando l'utente gli chiede di leggere le notifiche. In questo modo i comandi ostili vengono eseguiti aggirando le protezioni di Google.

Particolarmente insidioso è l'avvelenamento della memoria: la tecnica simula il consenso dell'utente, inducendo Gemini a salvare in modo permanente un'informazione scelta dall'attaccante.

Falla già corretta, nessun caso reale

La buona notizia è che Google ha già corretto il problema. SafeBreach non ha assegnato alcun CVE e non vi è alcuna prova che la tecnica sia mai stata sfruttata in attacchi reali. Google ha confermato che i miglioramenti ai propri classificatori di contenuti hanno neutralizzato sia le iniezioni tramite notifiche sia il bypass denominato Delayed Tool Invocation.

Cosa ci insegna questo caso

  • Gli assistenti basati su IA che leggono notifiche, email e messaggi ereditano la fiducia accordata a quelle fonti: un contenuto ostile può trasformarsi in un comando.
  • La prompt injection non è più un problema teorico, ma un vettore d'attacco concreto contro gli agenti che agiscono per conto dell'utente.
  • Mantieni aggiornati sistema operativo e app dell'assistente, perché correzioni come questa arrivano via aggiornamento.
  • Limita i permessi e le integrazioni concesse agli assistenti IA, soprattutto l'accesso a casa connessa, calendario e messaggistica.

Man mano che gli assistenti diventano più autonomi e capaci di agire sul mondo reale, la superficie d'attacco si sposta dal codice al linguaggio: basta una frase ben costruita per impartire un ordine.