ثغرات جيميناي تسمح باختراق أجهزة المنازل الذكية والتحكم فيها

وأبرز العرض التوضيحي، الذي قدمه الفريق البحثي خلال مؤتمر Black Hat 2025، أسلوباً فريداً لإخفاء الأوامر بذكاء في خدمات مثل التقويم Google Calendar، حتى يقرأها جيميناي كما يقرأ رسائل البريد الإلكتروني أو غيرها من البيانات داخل التطبيقات، ثم ينفذ أوامر مباشرة مثل تشغيل الأجهزة أو تعطيلها. 

وتستند هذه الثغرات إلى طريقة تصميم جيميناي الذي يُعالج التعليمات الواردة إليه باللغة الإنجليزية بطريقة عامة، ما يجعله عرضة لتنفيذ أوامر مدسوسة.

أسلوب معقد

وتمكن الباحثون، وهم بين ناسي، وستاف كوهين، وأور يائير، من توثيق هذا النوع من الهجمات من خلال موقع إلكتروني يحمل عنوانًا لافتًا هو “الدعوة هي كل ما تحتاجه” (Invitation is All You Need).

ويتضمن الموقع مقاطع فيديو توضح كيف يمكن للأوامر المُعَدّة بعناية أن تؤدي إلى فتح النوافذ، وإطفاء الأضواء، وتشغيل أجهزة التسخين، وحتى تحديد الموقع الجغرافي للمستخدم.

وأشار الباحثون إلى أن مثل هذه الأوامر يمكن أن تندرج في عناوين دعوات التقويم أو أي جزء يبدو عاديًا، ليفسرها جيميناي كمهمة تستدعي إنشاء “وكلاء خفيين” ينتظرون كلمات تفعيل شائعة مثل “شكرًا” في بريد إلكتروني مثلاً، لتنفيذ الأوامر المدمجة مسبقًا.

وتزداد خطورة هذه الهجمات إذا علمنا أن القيود الأمنية التي ربما يفرضها المستخدم على تقويمه الشخصي قد لا تكون كافية.

ويمكن للبرمجيات التوجيهية أن تنفذ أيضًا عبر وسائط أخرى يطّلع عليها جيميناي، مثل عنوان البريد الإلكتروني أو موضوع الرسالة.

وبين الباحثون في العرض التوضيحي كيف يمكن لتلك الأوامر أن تتسبب في إرسال رسائل مزعجة، أو حذف أحداث من التقويم، أو حتى بدء بث مباشر عبر زووم دون علم المستخدم.