Google пообіцяла виправити помилку в Android, через яку будь-хто, заволодівши заблокованим смартфоном, навіть не знаючи PIN-коду, міг звертатися до помічника зі штучним інтелектом Gemini для надсилання SMS або повідомлень у WhatsApp.
Джерело зображення: youtube.com/@videosdebarraquito
Проблема актуальна для Android 16. Неавтентифікований користувач, який отримав фізичний доступ до пристрою, використовуючи особливу мультисенсорну жестову команду на заблокованому екрані, отримує доступ до таких функцій, як телефон, надсилання SMS або повідомлень у WhatsApp.
Якщо користувач блокує доступ Gemini до певних додатків, наприклад, до «Google Повідомлень», а гіпотетичний зловмисник згодом намагається надіслати SMS через Gemini прямо з екрана блокування, чат-бот пропонує відкрити відповідний додаток. Далі пропонується опція «Продовжити» та введення PIN-коду для доступу до програми — і якщо натиснути кнопку «Продовжити» одночасно з кнопкою «Додати вкладення» в рядку Gemini, то SMS надсилається і без введення PIN-коду. Далі можна отримати через Gemini доступ і до інших додатків, заблокованих для ШІ-помічника, вказавши відповідний запит. Наприклад, доступ до WhatsApp відкривається, якщо в полі Gemini ввести «@WhatsApp» — PIN-код знову не потрібен.
Щоб скористатися вразливістю, потрібен фізичний доступ до пристрою, і в більшості випадків реалізувати це в реальних сценаріях не так просто. З іншого боку, гіпотетичний зловмисник отримує можливість надсилати SMS від імені жертви, і недооцінювати таку загрозу небезпечно. Google відомо про цю помилку, і виправлення вийде в оновленні цього тижня, заявили в компанії ресурсу The Register. На пристроях Pixel цей спосіб обходу блокування не працює, підкреслили в компанії; надходили повідомлення, що помилка не відтворюється і на пристроях Samsung; але список виробників, для продукції яких проблема актуальна, не наводиться.
Подробиці можна знайти на сайті: 3dnews.ru