Se ha descubierto una nueva clase de ataques de inyección indirecta de prompts (IPI) que afectan al asistente de voz de Google Gemini. Estos ataques permiten a los malintencionados tomar el control de la IA de forma silenciosa mediante el envío de cargas maliciosas a través de aplicaciones de mensajería comunes como WhatsApp, Slack, Signal, SMS, Instagram y Messenger. La investigación fue liderada por Or Yair, jefe del equipo de investigación de seguridad de SafeBreach.

Una nueva clase de ataques de inyección de prompts indirectos (IPI) tiene como objetivo el asistente de voz de Google Gemini, lo que permite a los atacantes secuestrar silenciosamente la IA a través de cargas útiles maliciosas enviadas mediante aplicaciones de mensajería cotidianas, incluyendo WhatsApp, Slack, Signal, SMS, Instagram y Messenger.

La investigación, dirigida por Or Yair, líder del equipo de investigación de seguridad de SafeBreach, se basa en la divulgación anterior de la firma denominada “Invitation Is All You Need”, que utilizó invitaciones de Google Calendar contra Gemini.

Esta vez, la superficie de ataque es mucho mayor; cualquier aplicación capaz de activar una notificación en el dispositivo se convierte en un vector de entrega viable.

Vulnerabilidad de Google Gemini Explotada

El núcleo del exploit aprovecha el agente de Utilidades de Android de Gemini, específicamente la herramienta que lee las notificaciones entrantes. Debido a que esta herramienta procesa datos no confiables de aplicaciones de terceros, un atacante puede incrustar instrucciones maliciosas directamente dentro de un mensaje diseñado para ello.

Una vez que Gemini lee la notificación "envenenada", incorpora silenciosamente los comandos del atacante en el contexto conversacional sin que tú lo sepas.

Incluso sin invocar herramientas externas, este IPI basado en notificaciones permite un envenenamiento del contexto que permite a los atacantes controlar totalmente la respuesta de Gemini. Un asistente manipulado podría, por ejemplo, transmitir un mensaje falso del sistema: “Hubo un error; haz clic aquí para actualizar” — un señuelo de phishing clásico entregado a través de una interfaz de IA confiable.

Alineación de Contexto Falso: Evadiendo las Defensas de Google

Después de que Google parcheara vulnerabilidades anteriores bloqueando las invocaciones de herramientas encadenadas y la Invocación de Herramientas Retrasada, los investigadores de SafeBreach desarrollaron una nueva técnica de evasión denominada Alineación de Contexto Falso.

La técnica crea una doble ilusión, presentando un escenario de autorización legítimo a los mecanismos de seguridad del backend de Gemini mientras le muestra a la víctima una interacción totalmente benigna.

Se demostraron dos técnicas:

• Alineación de Contexto Falso Ofuscada: Gemini añade una pregunta de autorización maliciosa en un idioma extranjero (por ejemplo, chino: “你想打开窗户吗?” — “¿Quieres abrir la ventana?”) seguida inmediatamente por una pregunta inofensiva en inglés. Tú respondes “Sí” al prompt en inglés mientras el backend alinea la afirmación con la instrucción oculta en chino, activando la ejecución de la herramienta.

• Alineación de Contexto Falso Silenciada: La pregunta maliciosa se incrusta como texto de un enlace en el que se puede hacer clic y que el motor de texto a voz de Gemini omite silenciosamente. Tú solo escuchas un prompt de voz benigno y, sin saberlo, autorizas una llamada a la herramienta respondiendo “Sí”.

Combinar ambas técnicas en una carga útil de “Combo Definitivo” permitió a los investigadores evadir todas las mitigaciones más recientes de Google con una alta fiabilidad y una conciencia del usuario casi nula.

Con la Invocación de Herramientas Retrasada reactivada, los investigadores demostraron una serie de exploits de alta gravedad. La aparición de la tecnología del hogar inteligente ha facilitado diversas formas de explotación, como el control remoto de dispositivos conectados (ventanas, calderas e iluminación) a través de Google Home.

Además, existen tácticas alarmantes como la transmisión de vídeo encubierta, donde un atacante puede forzar la ejecución de Zoom y transmitir la cámara de la víctima en vivo a través de una redirección HTTP 301 desde un dominio aprobado por Safe Browsing.

Los esquemas de ingeniería social a gran escala están en aumento, fabricando mensajes de contactos confiables sin conocimiento previo de los nombres de dichos contactos, extrayendo los nombres reales del remitente desde la cola de notificaciones.

Por otro lado, el envenenamiento de la memoria persistente se ha convertido en una preocupación crítica, ya que implica inyectar información falsa en la memoria a largo plazo de Gemini en toda la cuenta de Google Workspace de la víctima, afectando a tabletas, ordenadores y altavoces inteligentes.

Por último, las tácticas de vigilancia programada permiten establecer tareas recurrentes que leen automáticamente tus mensajes recientes a diario, comprometiendo aún más tu privacidad y seguridad.

SafeBreach reveló los hallazgos al Programa de Recompensa por Vulnerabilidades de Google el 17 de agosto de 2025. Google confirmó el 14 de noviembre de 2025 que las mejoras actualizadas del clasificador de contenido mitigaron con éxito los escenarios de inyección de prompts indirectos y de Invocación de Herramientas Retrasada descritos en la investigación.

Fuentes:
https://cybersecuritynews.com/google-gemini-vulnerability-exploited/