Falha no Gemini permitia sequestro do assistente via notificações de WhatsApp e Slack

O ataque 'Fake Context Alignment' descoberto pela SafeBreach representa uma evolução sofisticada em técnicas de prompt injection, fenômeno que o CEVIU acompanha desde pelo menos junho de 2026. Diferentemente de ataques anteriores que focavam em sistemas de suporte ou resumidores (como o ChatGPhish e as falhas de IA do Instagram), este exploit explora o canal de notificações como vetor de injeção de instruções. O Gemini processava comandos ocultos em mensagens aparentemente inócuas do WhatsApp, Slack e SMS sem alertar o usuário, permitindo ações autonomamente: desde controlar dispositivos Google Home até iniciar chamadas no Zoom e manipular a memória de longo prazo do assistente. A brecha residia na capacidade do modelo de processar contexto injetado sem validar se as instruções originaram do usuário legítimo ou de uma notificação externa.

O Google respondeu em meados de novembro de 2025 com aprimoramentos nos classificadores de segurança que identificam padrões de prompt injection. Essa correção marca uma escalada no esforço defensivo das grandes tech companies contra técnicas de manipulação de modelos de linguagem, um padrão observado em múltiplas vulnerabilidades reportadas nos últimos dias pelo CEVIU: desde injeções SQL em Ghost CMS até tokens capturados via webviews no VSCode.

Assistentes de IA integrados a dispositivos e serviços críticos (Google Home, Zoom, sistemas de memória) representam um novo perímetro de ataque. Se notificações simples podem reconfigurar comportamento do assistente sem consentimento explícito, qualquer serviço que envia notificações a usuários Gemini torna-se potencialmente um vetor de comprometimento. A falha não foi apenas técnica, mas conceitual: o modelo não distinguia entre contexto legítimo (pergunta do usuário) e contexto injetado (instruções em notificações de terceiros).

Mais preocupante: a memória de longo prazo corrompida significa que o assistente poderia ser condicionado para comportamentos maléficos de forma persistente. Esse padrão de corrupção de estado se alinhas com outras vulnerabilidades focadas em roubo de credenciais e tokens, sugerindo que IA generativa e sistemas de autenticação estão convergindo como alvos prioritários de pesquisadores de segurança.