Geminiがカレンダー招待でハッキングされる

gguy – shutterstock.com

GoogleはAIアシスタントGeminiをAndroid、Googleウェブサービス、Google Workspaceアプリに統合しています。チャットボットとしての機能に加え、人工知能（AI）はGmail、カレンダー、Google Homeにもアクセスできます。

この広範な連携を犯罪者が悪用する可能性があることを、SafeBreachの研究者が実験で明らかにしました。カレンダー招待にプロンプトインジェクションを埋め込むことで、ハッカーは重要かつ機密性の高い情報にアクセスできる可能性があります。ただし、この脆弱性が実際に悪用された事例はまだ確認されていません。

それでも犯罪者は

• メール内容やカレンダー情報の流出、
• 被害者の位置情報の追跡、
• Google Homeを通じたスマートホーム機器の操作、
• Android端末上のアプリの起動、
• Zoomビデオ通話の発信

などが可能になるといいます。SafeBreachによると、該当するプロンプトはイベントのタイトルに簡単に隠すことができます。さらに、現時点ではこの種の攻撃はGeminiのプロンプトフィルタリングや他の防御策では防げないことも専門家は突き止めました。

インジェクションの概要

SafeBreachはその具体的な流れを次のように説明しています。

被害者は、すでに間接的なプロンプトインジェクションが含まれているGoogleカレンダーイベントの招待を受け取ります。その後、被害者が「今日の予定は？」などとGeminiに尋ねると、Geminiはカレンダーからイベント一覧を取得します。この際、Geminiは悪意あるイベントタイトルをコンテキストウィンドウの一部として認識し、会話の一部として処理します。

攻撃者が使用するプロンプトによっては、以下のようなツールやエージェントを有効化できる可能性があります。

• カレンダーイベントの削除や編集、
• URLの開封、
• ターゲットのIPアドレスの取得、
• Zoom通話への参加、
• Google Homeを使った物理デバイスの操作、
• メールへのアクセスや機密ユーザーデータの抽出

SafeBreach

攻撃には根気が必要

ただし研究者によれば、攻撃者は攻撃を成立させるために最大6件のカレンダー招待を送る必要がある場合があります。その理由は、スマートフォンの「カレンダーイベント」欄には最新の5件しか表示されず、それ以外は「さらに表示」ボタンの下に隠れているためです。しかし、Geminiはプロンプトの解析時にすべてのイベント（悪意あるものも含む）を分析します。

ただし被害者は、悪意あるタイトルを通常は目にすることがなく、「さらに表示」をクリックしてイベントリストを手動で拡張したときに初めて不正な内容に気付く可能性があります。

SafeBreach

GoogleはSafeBreachの報告を受けて、Geminiのために継続的に新しいセキュリティ対策を導入していると説明しました。多くの対策はまもなく実装されるか、すでに一部導入段階にあるとテック大手は述べています。