Yhdellä viestillä Gemini valehtelee käyttäjälleen
SafeBreach Labsin tutkija Or Yair näytti 3. kesäkuuta julkaistussa raportissa, kuinka yksittäinen viesti-ilmoitus voi muuttaa Android-puhelimen Gemini-assistentin hyökkääjän työkaluksi. Hyökkäys ei vaadi haittasovellusten asentamista. Riittää, että uhri saa viestin WhatsAppissa, Slackissa, Signalissa, Instagramissa, Messengerissä tai tavallisena tekstiviestinä.
Vika piilee Geminin Utilities-ominaisuudessa, joka lukee ilmoituksia ja vastaa niihin käyttäjän puolesta. Toiminto on saatavilla vain Androidilla, joten iOS- ja verkkokäyttäjät jäävät hyökkäyksen ulottumattomiin.
Mikä on Fake Context Alignment?
Yair kehitti tekniikan, jonka SafeBreach nimesi Fake Context Alignmentiksi. Se rakentuu kahdesta yhtäaikaisesta illuusiosta, jotka harhauttavat sekä käyttäjää että Geminin sisäisiä tarkistuksia.
Ensimmäisessä variantissa Gemini esittää käyttäjälle kaksi kysymystä samaan aikaan. Aito valtuutuskysymys, esimerkiksi ‘Haluatko avata ikkunan?’, piilotetaan vieraskieliseen tekstiin, tutkimuksessa kiinaan. Sen perään liitetään harmiton englanninkielinen kysymys ‘Is that all you needed?’. Käyttäjä vastaa kyllä englanninkieliseen kysymykseen, mutta backend liittää myöntävän vastauksen kiinankieliseen valtuutukseen.
Toinen variantti on vielä hiljaisempi. Hyökkääjä piilottaa haitalliset komennot hyperlinkkien sisään, joita ääniassistentti ei lue ääneen. Käyttäjä kuulee Geminin lausuvan jotain neutraalia, kuten ‘Pahoittelut, tapahtui virhe, oletko siellä?’, mutta ruudulla pyörii samaan aikaan kysymys avoinaisesta ikkunasta. Hyökkäys onnistuu, koska ihminen luottaa ääneen ja jättää ruudun huomiotta.
Kolme hyökkäysmallia konkretisoivat riskin
Yair demonstroi, mitä kaapatulla Geminillä voi tehdä. Yksinkertaisin tapaus on välitön tietojen varkaus: hyökkääjä pakottaa puhelimen lataamaan tiedoston tai paljastamaan sijainnin IP-osoitteen perusteella. Vaarallisempi vaihtoehto on tilin haltuunotto, jossa Gemini ohjataan käynnistämään kolmannen osapuolen sovelluksia. Yair osoitti, että puhelimen sai liitettyä Zoom-puheluun videon kanssa ilman käyttäjän huomiota.
Vakavin skenaario on hiljainen valvonta. Geminin pitkäkestoiseen muistiin voi syöttää tekaistuja tosiasioita, jotka säilyvät uhrin Google-tilillä laitteesta toiseen. Hyökkääjä voi myös määritellä toistuvia tehtäviä, kuten lukea uusimmat viestit joka päivä iltakahdeksalta. Silloin uhrin puhelin raportoi keskusteluja ulos ilman, että mikään näkyvä asetus paljastaa toimintaa. Älykodin yhdistäminen Googleen lisää vielä yhden tason: kaapattu Gemini voi avata sähkölukot, lämmityksen tai valaistuksen.
“Hyökkäyspinta on käytännössä ääretön. Mikä tahansa sovellus, joka voi lähettää ilmoituksen Android-puhelimeen, on potentiaalinen kuljetuskanava.”
Googlen kerrospuolustus ei riittänyt
Google on rakentanut Gemini-tuoteperheeseen niin kutsutun layered defense -mallin, jossa eri vaiheiden tarkistimet etsivät epäilyttäviä komentoja. Mallin pitäisi pysäyttää valtuutuskysymykset, jos ne näyttävät arveluttavilta. Yair kuvasi, että Fake Context Alignment huijaa nimenomaan tätä tasoa: tarkistimet näkevät tilanteen järjestyneeltä ja hyväksytyltä, koska valtuutuskysymys ja vastaus täsmäävät. Ne vain täsmäävät eri kielillä.
SafeBreach raportoi haavoittuvuuden Googlen Vulnerability Reward Programiin 17. elokuuta 2025. Google vahvisti 14. marraskuuta, että uudet sisältöluokittimet sulkevat kuvatut hyökkäysmallit. Julkinen disclosure tehtiin vasta nyt kesäkuussa, kun korjaukset olivat ehtineet päivittyä laitteisiin.
