📸 Créditos da imagem: reprodução / Tecmundo
Pesquisadores em segurança cibernética descobriram uma vulnerabilidade crítica no Google Gemini que permitia o sequestro do assistente de inteligência artificial através de notificações comuns de aplicativos como WhatsApp, Slack e SMS no Android. A falha, que não exigia a instalação de nenhum software malicioso no dispositivo da vítima, abria portas para que atacantes remotos controlassem dispositivos domésticos inteligentes, iniciassem chamadas de vídeo sem permissão e até mesmo alterassem a memória permanente do assistente.
O estudo, conduzido pela empresa de segurança SafeBreach, é uma continuidade de investigações anteriores que já haviam revelado ataques similares utilizando convites do Google Calendar. Desta vez, o foco recaiu sobre o recurso “Utilidades” do Gemini no Android, que permite ao assistente de voz ler mensagens recebidas em voz alta. O cerne do problema residia no fato de que o sistema interpretava o conteúdo dessas mensagens como instruções legítimas, e não como meros textos de terceiros.
Isso significava que qualquer pessoa capaz de enviar uma notificação para o celular de outra, seja via WhatsApp, Slack, Signal, Instagram, SMS ou qualquer outro aplicativo, poderia embutir comandos disfarçados dentro dessa mensagem. A vítima sequer precisava abrir a notificação; bastava que o Gemini a lesse para que o ataque fosse desencadeado.
Manipulação da Fala do Assistente
O impacto inicial dessa vulnerabilidade era a capacidade de manipular o que o assistente dizia. Sem a necessidade de acionar qualquer ferramenta externa, o ataque permitia controlar o discurso do Gemini. O pesquisador conseguiu fazer com que o assistente anunciasse mensagens falsas, atribuindo-as a contatos reais da vítima.
Por exemplo, o Gemini poderia, enquanto a pessoa dirige, anunciar em voz alta que seu gerente solicitou o envio de um arquivo para uma pasta específica. A vítima, confiando em seu assistente pessoal, tenderia a obedecer sem questionar a autenticidade da solicitação. O ataque podia ser executado de forma “cega”, sem que o invasor soubesse o nome do contato. A técnica instruía o Gemini a identificar o primeiro nome real na fila de notificações e atribuir a mensagem falsa a ele, tornando o golpe escalável para milhões de usuários.
Superando as Barreiras de Segurança do Google
Para acionar ferramentas reais, como abrir janelas de uma casa ou iniciar uma videochamada, era necessário superar uma proteção que o Google já havia implementado. Essa defesa verificava se um simples “Sim” da vítima fazia sentido contextual antes de autorizar uma ação sensível. A solução encontrada pelos pesquisadores foi batizada de “Fake Context Alignment” (Alinhamento de Contexto Falso).
A ideia por trás dessa técnica era criar duas ilusões simultâneas: para o sistema de segurança, parecia que o Gemini havia pedido permissão e o usuário havia concordado; para a vítima, a interação parecia uma troca normal e inofensiva. Isso foi alcançado de duas maneiras distintas:
- Na primeira, o Gemini fazia a pergunta de autorização em um idioma que a vítima provavelmente não entendia, como o chinês, e logo em seguida fazia uma pergunta inocente em português. A vítima estranhava o trecho em mandarim, mas respondia “Sim” pensando estar encerrando a leitura de notificações. O sistema de segurança, contudo, associava esse “Sim” à pergunta em mandarim.
- Na segunda técnica, o Gemini escondia a pergunta maliciosa dentro de um link clicável na tela. Como o assistente de voz não lê links em voz alta, a vítima ouvia apenas uma frase inocente, mas a tela exibia silenciosamente “Você quer abrir a janela?”. Ao responder “Sim” à pergunta falada, a vítima autorizava a ação sem ter conhecimento do comando real.
Consequências Graves Após a Violação da Segurança
Com essa barreira superada, os impactos potenciais tornavam-se severos. O pesquisador demonstrou ser possível controlar dispositivos conectados à conta Google Home da vítima, incluindo janelas, aquecedores e iluminação. Também era viável abrir URLs externas, o que poderia ser explorado para descobrir o endereço IP e a localização da vítima.
Em outro teste alarmante, um domínio legítimo foi configurado para redirecionar para um link que abria o Zoom automaticamente, ingressava em uma sala específica e ativava a câmera do celular. O Gemini seguiu o redirecionamento sem emitir qualquer alerta à vítima. Além disso, o ataque conseguiu algo que testes anteriores não haviam alcançado: adulterar a memória de longo prazo do assistente. Como essa memória é vinculada à conta Google da vítima, a informação falsa se espalharia para todos os dispositivos onde ela utiliza o Gemini, como tablets, computadores e caixas de som inteligentes. O pesquisador também demonstrou a criação de tarefas recorrentes, como fazer o Gemini ler as mensagens da vítima todos os dias às 20h.
Google Implementa Correções para as Vulnerabilidades
A SafeBreach reportou os problemas ao programa de recompensas de segurança do Google em agosto de 2025. Em novembro de 2025, o Google confirmou que atualizações no classificador de conteúdo do servidor bloquearam os ataques. Por ser uma correção do lado do servidor, os usuários não precisam instalar nenhuma atualização de aplicativo.
Para quem deseja uma camada extra de proteção, é possível desativar o recurso “Utilidades” do Gemini nas configurações de aplicativos conectados, ou revogar a permissão de leitura de notificações do Google no Android. Não há evidências de que essa técnica tenha sido utilizada em ataques reais até o momento.
Confira algumas ofertas de eletrônicos para sua casa:
Garanta já a sua! Máquina de Gelo HQ HQ-MG12KGDP, 12kg – 37% off por R$ 341,10
Aproveite! Geladeira HQ Defrost HQ-230RDFS, 230L – 25% off por R$ 1.308,80
📰 Leia a notícia completa em: Tecmundo »