這篇文章要探討的是一個關於大型語言模型（LLM）在行動裝置上整合時，可能產生的安全漏洞。簡單來說，研究人員發現 Google Gemini 在 Android 上的某些功能，會將外部的「通知訊息」誤認為是「操作指令」，導致攻擊者只要發送一則訊息，就能遠端操控使用者的手機或智慧家居。
我們先來釐清一個核心概念：間接提示注入（Indirect Prompt Injection）。
一般的提示注入（Prompt Injection）是指使用者直接輸入指令來欺騙 AI，例如叫 AI 忘記之前的設定。而間接提示注入則更危險，攻擊者並非直接與 AI 對話，而是將惡意指令埋在 AI 會讀取的外部資料中（例如電子郵件、網頁或通知）。當 AI 在處理這些資料時，會不小心將其中的惡意文字當成系統指令執行。
漏洞的觸發路徑：通知推送
在 Android 平台上，Gemini 擁有一項 Utilities 功能，允許它讀取並回覆使用者的通知（包含 WhatsApp、Slack、SMS 等）。這意味著只要任何能發送通知的 App，都成了攻擊路徑。
攻擊者不需要在受害者手機上安裝任何惡意軟體，只需要發送一則精心設計的通知。當 Gemini 讀取這則通知時，它會將內容視為上下文（Context）甚至指令。最簡單的攻擊方式是偽造訊息，例如讓 AI 用語音告訴使用者：你的主管要求你將文件上傳到某個雲端資料夾。如果使用者正在開車，無法查看螢幕，很容易被誤導。
突破安全防線：偽造上下文對齊（Fake Context Alignment）
Google 其實在之前的漏洞修復中，加入了一套驗證機制：當 AI 要執行敏感操作（如打開窗戶、啟動 App）時，它會檢查使用者的回覆（例如說 Yes）是否與 AI 剛才提出的問題相符。如果 AI 突然跳出一個沒來由的請求，驗證機制會攔截它。
為了繞過這個防線，研究人員開發了一套名為 Fake Context Alignment 的技巧，利用兩種欺騙手段同步進行：
第一種是語言混淆。AI 會用一種使用者聽不懂的語言（例如中文）詢問敏感權限，緊接著立刻用使用者熟悉的語言（例如英文）問一個無關緊要的問題。使用者可能會以為 AI 發生 glitch（小故障），隨口回答 Yes，但後端系統會將這個 Yes 綁定到那個中文的敏感請求上。
第二種是隱藏連結。利用文字轉語音（TTS）會跳過隱藏超連結的特性，AI 在螢幕上顯示敏感問題，但對使用者說的是：抱歉我出錯了，你還在嗎？使用者看到螢幕上的文字並回答 Yes，權限就被開啟了。
實際影響與風險
一旦突破驗證閘門，攻擊者能達成的操作相當驚人：
智慧家居控制：透過 Google Home 遠端開啟窗戶、啟動鍋爐或控制燈光。 強制跳轉 App：將使用者導向特定的 URL，甚至強行讓手機加入 Zoom 會議並開啟視訊串流。 記憶污染（Memory Poisoning）：這是最嚴重的一點。由於 Gemini 具有長期記憶功能且與帳號綁定，攻擊者可以利用此漏洞讓 AI 儲存錯誤的資訊（例如將使用者的名字永久改掉）。這種污染會跟隨帳號，無論使用者在任何裝置使用 Gemini，錯誤的記憶都會存在。 持久化攻擊：設定定時任務，例如要求 AI 每天晚上八點讀取使用者的最新訊息。
目前的解決方案
Google 已在伺服器端修復此漏洞，透過強化內容分類器（Content Classifier）來辨識並攔截通知中的注入指令，因此使用者不需要更新 App 即可獲得保護。
對於極高安全性需求的工程師或使用者，建議採取以下預防措施：
在 Gemini 的已連接應用程式（Connected Apps）設定中，斷開 Utilities 功能。 在 Android 系統設定中，關閉 Google App 的通知讀取、回覆與控制權限。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。