Falha no Gemini permitia sequestro do assistente via notificações de WhatsApp e Slack

A falha 'Fake Context Alignment' não é um bug isolado no Gemini, é a evolução mais perigosa do que já vimos em injeção indireta de prompts. Diferente de ataques anteriores, como o 'Invitation Is All You Need' (Black Hat USA 2025), que usava convites do Google Calendar, essa técnica explora notificações de apps de mensagens reais, WhatsApp, Slack, SMS, Signal, Instagram e Messenger, como canais legítimos de entrada. O truque está na forma como o agente 'Android Utilities' do Gemini processa texto não confiável: ele lê notificações sem filtragem contextual rigorosa, aceita comandos ocultos em idiomas estrangeiros ou em hiperlinks mutados, e correlaciona respostas do usuário ('Sim', 'OK') com instruções silenciosas que ele nunca ouviu. Isso cria uma fenda entre o que o usuário percebe e o que o sistema executa, uma brecha de confiança que o Google tentou fechar em novembro de 2025, mas que a SafeBreach contornou com técnicas mais sutis de desvio de contexto.

O ataque não depende de engenharia social direta nem de interação ativa com links maliciosos. Basta o usuário receber uma notificação falsa (ex.: 'Nova mensagem de Ana' no WhatsApp) contendo um comando em chinês seguido por uma pergunta inócua em inglês. Quando ele responde à segunda, o backend do Gemini associa a resposta à primeira, e aciona o Zoom, muda o nome de um contato ou grava todas as notificações diárias. Pior: como a memória de longo prazo do Gemini está vinculada à conta Workspace inteira, o comprometimento se propaga automaticamente para todos os dispositivos conectados.

Em agosto de 2025, a SafeBreach já havia exposto o vetor 'Invitation Is All You Need', levando o Google a bloquear o encadeamento de ferramentas a partir de injeções indiretas e a mitigar a 'Delayed Tool Invocation'. Mas a nova falha, reportada em agosto e corrigida em novembro de 2025, mostra que essas defesas foram contornadas: agora o ataque não depende mais de convites ou eventos agendados, mas de notificações nativas do sistema Android, um canal muito mais frequente, menos suspeito e quase impossível de bloquear sem desabilitar funcionalidades críticas. A correção veio apenas em novembro de 2025, e só foi divulgada publicamente em junho de 2026, após o Google confirmar que não havia evidências de exploração na natureza.

Essa falha mostra que a segurança de agentes de IA não pode depender só de filtros de prompt ou classificadores de conteúdo, ela exige isolamento de origem, limitação de escopo de permissões e validação contextual em tempo real. O fato de o Google ter corrigido a falha no servidor, sem exigir atualizações de app, revela uma mudança estratégica: o controle está migrando para a nuvem, mas isso também centraliza o risco. Para empresas que usam Gemini em ambientes corporativos (ex.: integração com Slack ou Gmail via Workspace), a corrupção da memória de longo prazo significa que um único dispositivo comprometido pode expor dados sensíveis em toda a rede, sem necessidade de phishing, senhas fracas ou exploits de sistema operacional. É um novo tipo de ameaça: não contra o usuário, mas contra a própria noção de intenção do assistente.