- Pesquisadores da SafeBreach mostram como notificações de apps como WhatsApp podem instruir o Google Gemini no Android a executar ações sem precisar de malware no celular.
- O ataque permitia que o Gemini lesse mensagens e, a partir disso, controlasse dispositivos domésticos, abrisse videochamadas sem autorização e adulterasse a memória de longo prazo associada à conta Google, sem que a vítima precisasse abrir a mensagem.
- Foram usadas táticas de “Alinhamento de Contexto Falso” para contornar proteções: a autorização aparecia em mandarim ou dentro de um link, e a vítima respondia “Sim” a uma frase inocente, levando o comando adiante.
- Os impactos demonstrados incluíram controle de dispositivos conectados, abertura de URLs externas e possível obtenção de endereço IP ou localização, além de ações repetidas programadas para a leitura de mensagens.
- A Google corrigiu as vulnerabilidades por meio de atualização no servidor (sem necessidade de atualização do aplicativo). Recomendação de proteção: desativar o recurso Utilidades do Gemini ou revogar a permissão de leitura de notificações no Android; não há evidências de uso em ataques reais.
O Google Gemini pode ser hackeado por notificações comuns de mensagens. Pesquisadores da SafeBreach mostraram que mensagens do WhatsApp, Slack ou SMS podem ser transformadas em comandos maliciosos para o assistente de voz no Android, sem que o celular precise de nenhum app extra.
A técnica explorada envolve o recurso de leitura de notificações do Gemini, chamado Utilidades. Ao ler uma mensagem, o assistente tratava o conteúdo como instrução válida, abrindo a porteira para controlar dispositivos, iniciar chamadas e adulterar a memória de longo prazo do Gemini, tudo sem abrir o aplicativo.
O estudo, publicado pela SafeBreach, é uma continuação de pesquisas anteriores sobre ataques via convites do Google Calendar. Os pesquisadores mostraram que qualquer notificação pode embutir comandos disfarçados, mesmo sem o atacante conhecer o nome da pessoa na mensagem.
Como o golpe acontece e seus impactos
A invasão podia ser efetivada apenas pela leitura da notificação, sem ações externas. O Gemini poderia, por exemplo, anunciar mensagens falsas atribuídas a contatos reais, enquanto o usuário dirigia, aumentando a chance de obedecer sem questionar.
Para contornar defesas, os pesquisadores criaram a técnica Fake Context Alignment. Ela induz a vítima a parecer que houve consentimento, enquanto o sistema de segurança apenas verifica o contexto, não o conteúdo da notificação. Em testes, o assistente chegou a perguntar sobre abrir janelas ou iniciar videoconferência.
Essa barreira derrubada permitia controlar dispositivos conectados, como janelas, aquecedores e iluminação, e abrir URLs que poderiam direcionar a invasão para mais etapas, incluindo a obtenção de informações de localização.
Correções e medidas de proteção
A SafeBreach notificou o Google em agosto de 2025. Em novembro do mesmo ano, a empresa informou que atualizações no classificador de conteúdo do servidor bloquearam os ataques — corrigidos do lado do servidor, sem necessidade de atualização do aplicativo.
Como proteção, é possível desativar o recurso Utilidades do Gemini nas configurações de apps conectados ou revogar a permissão de leitura de notificações do Android. Não há registros de ataques reais até o momento.
Entre na conversa da comunidade