Des chercheurs en cybersécurité de Miggo Security ont démontré comment une attaque pouvait rester dormante jusqu'à son activation par une simple question de l'utilisateur à son assistant IA.

La faille exploitait la manière dont Gemini ingère et interprète automatiquement toutes les données des événements de Google Agenda, y compris les champs que les attaquants peuvent contrôler.

Comment cette attaque fonctionnait-elle ?

Le mode opératoire se déroulait en plusieurs phases distinctes. L'attaquant créait d'abord une invitation Google Agenda et y insérait une charge utile sous forme de texte en langage naturel.

Si l'utilisateur posait une question sur son agenda, l'instruction demandait à Gemini de d'abord résumer toutes les réunions d'une journée précise, puis de créer un nouvel événement en y copiant ce résumé, et enfin de répondre à l'utilisateur par un message anodin.

La charge malveillante restait inactive jusqu'à ce que la victime pose une question banale à Gemini. Cette interaction servait de déclencheur, poussant l'IA à analyser tous les événements pertinents, y compris celui contenant le piège.

En coulisses, l'assistant IA exécutait les ordres, créant un nouvel événement visible par l'attaquant et y inscrivant le résumé des données privées de la victime pour réaliser l'exfiltration.

Des mesures de sécurité traditionnelles inefficaces

La vulnérabilité expose les limites de la sécurité traditionnelle, qui repose en grande partie sur la détection syntaxique, c'est-à-dire la recherche de motifs de code malveillants connus comme des injections SQL ou des balises de script.

Contrairement à ces menaces, les attaques sémantiques ne contiennent aucune chaîne de caractères manifestement dangereuse. Le danger n'émerge que du contexte et de l'intention, lorsque l'IA exécute l'instruction avec des permissions élevées, comme celle de créer de nouveaux événements.

" Les vulnérabilités ne sont plus confinées au code. Elles vivent désormais dans le langage, le contexte et le comportement de l'IA au moment de l'exécution ", souligne Miggo Security dans son rapport.

Une injection indirecte de prompt

" Il s'agit d'un exemple puissant d'injection indirecte de prompt menant à un contournement critique des mécanismes d'autorisation. " Miggo Security précise que le problème a été divulgué de manière responsable à Google qui a corrigé la faille.

Google assure par ailleurs qu'une stratégie de sécurité à plusieurs niveaux est à l'œuvre pour protéger les utilisateurs. Il est notamment demandé une confirmation explicite à l'utilisateur, avant la création d'un événement par Gemini.

Reste que de telles menaces d'injection de prompt natives de l'IA seront inévitablement un nouveau défi de sécurité à relever.