绕过Google防御！深度解析Gemini“伪造上下文对齐”注入攻击与利用链

原创

Hankzheng
Hankzheng

技术修道场

2026年6月9日 08:03
广东

在小说阅读器读本章

去阅读

大家好！最近在看各大安全实验室的Paper时，发现了一个极其巧妙的AI大语言模型（LLM）漏洞利用思路，实在忍不住要和大家盘一盘。

咱们搞IT基础设施和安全的都知道，随着各类AI助手越来越深入我们的工作流，针对LLM的“提示词注入（Prompt Injection）”攻击已经成了重灾区。今天我们要聊的，是SafeBreach的安全研究员Or Yair最新公布的一项研究：如何仅通过一条普通的App通知，就能完全劫持Android手机上的Google Gemini。

最离谱的是，黑客完全不需要在你的手机上安装任何恶意App。一条WhatsApp、Slack甚至是普通短信的通知，就足以让你的Gemini偷偷打开你家的智能窗户、伪造老板的指令，甚至对AI的长期记忆进行“投毒”。

今天，我们就来深度拆解一下这个攻击路径，看看作者是如何巧妙绕过Google的安全防御机制的。

01 祸起“通知栏”：无限放大的攻击面

这次漏洞的核心切入点，在于Android版Gemini的 Utilities（实用工具） 功能。

为了让AI更智能，Gemini被赋予了读取和回复手机通知的权限（比如你的微信、钉钉或WhatsApp消息）。这个功能目前是Android端独占的。问题恰恰出在这里：Gemini的底层Agent会将这些通知文本直接视为可以执行的“指令（Instructions）”。

这就意味着，任何能够向目标手机推送通知的渠道，都成了一个绝佳的Payload投递载体。正如作者Yair所言，这个攻击面“几乎是无限的”。

最基础的利用手段，就是让攻击者重写Gemini的语音播报输出。想象一下这个场景：你正在开车，根本没法看屏幕，这时Gemini语音播报：“您的经理让您把文件上传到这个Drive文件夹”。在那种情境下，你几乎不可能去质疑这条指令的真伪。更隐蔽的是，Payload可以在Gemini加载真实通知后才触发，直接抓取队列里的第一个真实联系人，把伪造的信息扣在他们头上。

02 核心难点：如何绕过Google的“二次确认”防御？

光是伪造输出还不够，真正的威胁在于“执行敏感操作”（比如打开App、控制智能家居）。

在之前SafeBreach披露了基于Google日历邀请的注入攻击后，Google其实已经对Gemini进行了安全加固。通过黑盒测试，Yair发现Google引入了一个逻辑校验机制：当用户说“Yes”来授权一个敏感操作时，系统会综合评估用户的回复和Gemini的最后一次输出，来判断这个“Yes”是否合理。如果攻击者突然凭空注入一条延迟指令，Gemini会100%拒绝执行。

那么，怎么突破这个防御？Yair提出了一种极其惊艳的绕过技术：Fake Context Alignment（伪造上下文对齐）。

其核心思路是：同时运行两套幻觉逻辑——一套给系统的安全校验机制看，一套给毫不知情的人类受害者看。

具体是如何实现的呢？主要分为两步高阶操作：

技术点一：语言混淆（Obfuscated）

利用多语言混合来降低用户的警惕性。Gemini会先用受害者听不懂的语言（例如中文环境下的用户突然听到法语，或者英文用户听到中文：“你想要打开窗户吗？”）提出真正的授权问题，紧接着用受害者的母语跟上一句无关痛痒的话：“你需要帮忙的就是这些吗？”。受害者往往会以为那句外语只是系统Bug，随口回答一个“Yes”。而这个“Yes”，在后台就被精准匹配到了那个敏感的授权问题上。
* 技术点二：静音隐藏（Muted）

利用了Gemini文本转语音（TTS）引擎的一个特性：TTS会跳过隐藏在可点击文本背后的超链接。攻击者将恶意的授权问题隐藏在链接中，Gemini在语音播报时会说：“对不起，我出现了一个错误，你还在吗？”，但在手机屏幕上默默显示的却是：“你要打开窗户吗？”。此时正在开车的司机随口回答“在的（Yes）”，系统的安全校验逻辑检测到了屏幕上的问题和用户的肯定回答，直接授权放行！

把“混淆”和“隐藏”结合起来，一个被静音链接包裹的恶意提示词，在受害者听起来只是一次普通的日常对话，但在底层却完美骗过了Google最新的安全校验。

03 深入利用链：不仅是越权，更是“记忆投毒”

突破了授权网关后，攻击者能干的事情就非常可怕了。作者在复现中展示了以下几种深层危害：

物理世界联动

直接控制绑定在Google Home上的智能家居
* 地理位置追踪与恶意下载

强制静默打开特定URL，通过IP定位受害者，或直接推送恶意文件下载
* 跨应用劫持

演示中，Yair使用了一个看似安全的域名重定向到Zoom的App链接。因为该域名之前提供过安全内容，Gemini产生了信任，随后未经二次提示就直接跟随重定向，强制手机加入Zoom会议并开启了视频推流
* 持久化长效记忆投毒

因为“伪造上下文对齐”技术成功模拟了用户的同意，攻击者可以将捏造的事实写入Gemini的长期记忆中。由于记忆是账号级别的，这意味着哪怕受害者换了设备，只要还在用这个账号，这些被投毒的记忆就会如影随形
* 计划任务植入

设定定时任务，例如“每天晚上8点读取受害者的最新消息”

04 总结与安全建议

SafeBreach在2025年8月就向Google的漏洞奖励计划（VRP）提交了这份报告。Google将其评为高优先级，并在11月份确认通过改进内容分类器，在服务端缓解了这种通知注入和延迟工具调用绕过的问题。

目前该漏洞没有分配CVE编号，且尚未发现被用于实际的野生攻击中。由于修复是在Server端完成的，咱们普通用户不需要疯狂刷新等待App更新。

💡 给IT运维和安全同行的防范建议：
虽然Google在云端打了补丁，但在目前大模型安全边界依然模糊的情况下，最小权限原则永远是我们的第一道防线。如果您对隐私极度敏感，建议直接在Gemini的“Connected Apps（已连接的应用）”设置中关闭 Utilities 关联，或者直接在Android系统权限中关闭Google App的“读取、回复和控制通知”权限。

今天分享的这个Case再次给我们敲响了警钟：在AI赋能万物互联的时代，原本被隔离的文本数据流（如通知栏提示语），随时可能变成高危的执行代码。 网络防御的边界，正在发生着极其微妙且深刻的改变。

不知道各位同行对这种基于上下文对齐的绕过手法有什么看法？欢迎在评论区留言，我们一起探讨！