Asystent głosowy Gemini podatny na atak przez zwykłe powiadomienia. Co to oznacza dla użytkowników?

Asystenci głosowi zyskują coraz większe możliwości – sterują domem, zarządzają kalendarzem, wykonują połączenia. Im więcej uprawnień, tym większe ryzyko. Badacze z firmy SafeBreach odkryli podatność w asystencie Google Gemini, która pozwalała atakującemu przejąć kontrolę nad urządzeniem za pomocą zwykłego powiadomienia z komunikatora. Google załatał lukę w listopadzie 2025 roku, ale przypadek ten pokazuje, jak bardzo wzrasta powierzchnia ataku w przypadku systemów opartych na dużych modelach językowych (LLM).

Jak działał atak Fake Context Alignment

SafeBrech nazwał odkrytą technikę Fake Context Alignment. Atak polega na wykorzystaniu powiadomień z popularnych aplikacji, takich jak WhatsApp, Slack czy SMS, do wstrzyknięcia złośliwych instrukcji w kontekst rozmowy z asystentem. Użytkownik nie widzi niczego podejrzanego – asystent odczytuje wiadomość, ale równocześnie wykonuje ukryte polecenia osadzone w treści notyfikacji.

Badacze wykazali, że możliwe było osadzenie komend w języku obcym lub w wyciszonych hiperłączach. Asystent przetwarzał je, ale nie odczytywał na głos. Dzięki temu atakujący mógł nakazać Gemini włączenie kamery w smartfonie, uruchomienie wideorozmowy przez Zoom, sterowanie inteligentnym domem przez Google Home, a nawet modyfikację długoterminowej pamięci asystenta. W praktyce oznaczało to trwałe przejęcie kontroli nad urządzeniem.

Jak podkreślają badacze SafeBreach w swoim komunikacie: „Notification-based attacks prove that indirect prompt injections can be reliably executed through highly trusted, everyday communication channels”. Ataki przez powiadomienia dowodzą, że wstrzyknięcia pośrednie mogą być skutecznie przeprowadzane za pomocą powszechnie używanych, zaufanych kanałów komunikacji.

Kogo dotyczyło zagrożenie i jak zareagował Google

Podatność została zgłoszona do Google w sierpniu 2025 roku, a firma załatała ją w połowie listopada 2025 roku, wprowadzając ulepszenia w klasyfikatorze treści. SafeBreach opublikował szczegóły techniczne dopiero w czerwcu 2026 roku, aby zwiększyć świadomość na temat ryzyka związanego z atakami typu prompt injection.

Zagrożenie było szczególnie poważne w scenariuszach, w których użytkownicy polegają wyłącznie na interakcji głosowej – na przykład podczas prowadzenia samochodu. W takich sytuacjach ofiara nie ma możliwości sprawdzenia treści powiadomienia na ekranie, co czyni atak trudnym do wykrycia. SafeBreach opublikował również nagrania wideo pokazujące, jak atakujący może zdalnie sterować urządzeniami Google Home lub inicjować połączenia Zoom bez wiedzy użytkownika.

Warto podkreślić, że podatność została już załatana. Użytkownicy, którzy regularnie aktualizują oprogramowanie na swoich urządzeniach z Androidem i aplikacje Google, są bezpieczni. Problemem pozostaje jednak skala – asystenci głosowi są obecni w milionach domów, a każda nowa integracja zwiększa potencjalną powierzchnię ataku.

Jakie wnioski dla administratorów i użytkowników

Przypadek Gemini pokazuje, że bezpieczeństwo asystentów AI to nie tylko kwestia szyfrowania transmisji czy uwierzytelniania. Kluczowe znaczenie ma to, w jaki sposób system przetwarza dane pochodzące z różnych źródeł – w tym wypadku z powiadomień systemowych. SafeBreach w swoim raporcie wzywa producentów do fundamentalnego przeprojektowania mechanizmów zaufania: „Organizations and vendors must move beyond localized mitigations and rethink how AI systems parse trust, context, and cross-channel permissions”.

Dla administratorów firmowych oznacza to kilka praktycznych zaleceń:

• Ogranicz uprawnienia asystentów głosowych – jeśli urządzenia firmowe korzystają z asystentów AI, warto sprawdzić, jakie aplikacje mają dostęp do funkcji głosowych i czy można wyłączyć integrację z komunikatorami.
• Monitoruj aktualizacje – Google i inni producenci regularnie wydają łatki. Warto śledzić komunikaty bezpieczeństwa, takie jak raport SafeBreach opublikowany przez SecurityWeek.
• Szkol użytkowników – osoby korzystające z asystentów głosowych w pracy powinny wiedzieć, że nawet nieszkodliwie wyglądające powiadomienie może być wektorem ataku.
• Rozważ segmentację – w środowiskach wrażliwych warto odizolować urządzenia z asystentami głosowymi od kluczowych systemów firmowych.

Ataki na asystenty AI nie są już futurystyczną wizją. Są realne, a ich skutki mogą być poważne – od kradzieży danych po fizyczne sterowanie urządzeniami w domu czy biurze. Dlatego zarówno producenci, jak i użytkownicy muszą traktować bezpieczeństwo tych systemów priorytetowo.

Co dalej

Google załatał konkretną lukę, ale sama klasa ataków – pośrednie wstrzyknięcia promptów – pozostaje otwartym problemem. Kolejne wersje asystentów głosowych, także tych od innych producentów, mogą być podatne na podobne techniki. Warto obserwować komunikaty bezpieczeństwa i nie ufać bezgranicznie żadnemu systemowi, który ma dostęp do mikrofonu, kamery i inteligentnego domu.