En Android, la función de Utilidades de Gemini (soporte de Google) puede leer y responder a tus notificaciones, incluidas las de aplicaciones como WhatsApp. No está disponible en iOS ni en la web, lo que mantiene este vector exclusivo de Android. Yair descubrió que el agente que lee esas notificaciones trata su texto como instrucciones que puede ejecutar. Por lo tanto, cualquier cosa que pueda enviar una notificación a un teléfono puede entregar una carga útil, una superficie de ataque que Yair calificó como "efectivamente infinita".

Como mínimo, esto permite a un atacante reescribir lo que Gemini dice, incluyendo la falsificación de un mensaje de un contacto nombrado. Escuchar en voz alta mientras conduces y no miras la pantalla: "tu gerente te pidió que subieras los documentos a esta carpeta de Drive" es difícil de cuestionar. La versión a ciegas es peor: la carga útil se activa después de que Gemini ha cargado notificaciones reales, por lo que puede tomar el nombre del primer remitente real en la cola y atribuirle el mensaje falso.

Falsificar la salida es una cosa. Ejecutar herramientas reales, como abrir una ventana o lanzar una aplicación, es lo que las mitigaciones de Google posteriores a "Invitation" fueron diseñadas para detener. La lectura de Yair, mediante pruebas de caja negra: cuando un "Sí" autoriza una acción sensible, una verificación sopesa tanto la respuesta del usuario como la última salida de Gemini para decidir si ese "Sí" tiene sentido. Si inyectas una instrucción retrasada de la nada, Gemini se negaba siempre.

Por lo tanto, la evasión, que Yair llamó Alineación de Contexto Falso (Fake Context Alignment), ejecuta dos ilusiones a la vez: una autorización con apariencia legítima para el control de seguridad y un intercambio inofensivo para el humano.

* Ofuscado. Gemini hace la pregunta de autorización real en un idioma que la víctima no habla, por ejemplo chino ("¿Quieres abrir la ventana?"), y luego sigue en inglés con algo inocuo como "¿Eso es todo lo que necesitabas?". El usuario ignora la frase extranjera como un fallo, dice "Sí", y el backend vincula ese "Sí" a la pregunta en chino.
* Silenciado. El texto a voz de Gemini omite los hipervínculos ocultos tras texto clickable. Así, la pregunta maliciosa queda enterrada en un enlace que el asistente nunca lee en voz alta. Gemini dice: "Lo siento, tuve un error, ¿estás ahí?", mientras la pantalla muestra silenciosamente "¿Quieres abrir la ventana?". El conductor dice "Sí", el control ve el texto en pantalla y las ventanas se abren.

Combina las dos cosas, un aviso de autorización en chino oculto dentro de un enlace silenciado, y obtienes una carga útil que suena como un intercambio normal en inglés mientras supera los controles más recientes de Google.

Superada la puerta de autorización, los impactos coincidieron con la investigación anterior y fueron más allá:

* Control del hogar inteligente a través de Google Home: ventanas conectadas, calderas y luces.
* Rastreo y descargas. Apertura de URLs para geolocalizar a una víctima por IP o forzar descargas de archivos.
* Salto a otras aplicaciones. En la demo, Yair configuró un dominio de aspecto seguro para redirigir a un enlace de la aplicación Zoom, y Gemini lo siguió sin preguntar, forzando al teléfono a unirse a una reunión y transmitir video. Según su relato, funcionó porque Gemini confió en el dominio después de haber servido contenido limpio y luego siguió la redirección posterior. SafeBreach recalca que su propio dominio nunca redirigió a Zoom; la redirección se ejecutó en un servidor local en el dispositivo de prueba.
* Envenenamiento de memoria, algo que la técnica anterior del calendario nunca logró. La Alineación de Contexto Falso simula el consentimiento, por lo que Gemini guardó persistentemente un dato elegido por el atacante. En la demo, almacenó el nombre de la víctima como "Danny". Debido a que esa memoria es a nivel de cuenta, el dato envenenado no se queda en el teléfono; sigue a la víctima donde quiera que use Gemini con esa cuenta.
* Persistencia mediante acciones programadas, como una tarea recurrente para leer los mensajes recientes de la víctima todos los días a las 8 PM.

SafeBreach informó de los hallazgos al Programa de Recompensas por Vulnerabilidades de Google el 17 de agosto de 2025. Google lo trató como una prioridad alta y confirmó el 14 de noviembre de 2025 que las mejoras en el clasificador de contenido mitigaron las inyecciones de notificaciones y la evasión de Invocación de Herramientas Retrasada.

Dado que la solución es del lado del servidor, no hay ninguna actualización de la aplicación que debas buscar. El único control que tienes es si permites que Gemini lea las notificaciones: desconecta la aplicación de Utilidades en la configuración de Aplicaciones Conectadas de Gemini, o desactiva el permiso de "Leer, responder y controlar notificaciones" de la aplicación de Google en Android.

Fuente:
THN