В экосистеме Android обнаружена серьезная уязвимость безопасности, затрагивающая новейшую версию операционной системы — Android 16. Проблема касается интеграции искусственного интеллекта Gemini, который, как выяснилось, может быть использован злоумышленниками для обхода блокировки экрана и отправки сообщений от имени владельца устройства, даже без знания PIN-кода.
Как работает обход блокировки
Суть уязвимости заключается в специфическом взаимодействии интерфейса с ИИ-помощником. Если злоумышленник получает физический доступ к заблокированному смартфону, он может активировать Gemini с помощью особой мультисенсорной жестовой команды прямо на экране блокировки. Это открывает доступ к функциям, которые должны быть защищены, таким как телефония, отправка SMS и мессенджеры, включая WhatsApp.
Особенно опасен сценарий, когда пользователь пытается ограничить права Gemini, заблокировав доступ к определенным приложениям, например, к «Google Сообщениям». В случае попытки отправить SMS через чат-бота, система корректно предлагает открыть приложение и ввести PIN-код. Однако здесь кроется ошибка логики: если нажать кнопку «Продолжить» одновременно с кнопкой «Добавить вложение» в интерфейсе Gemini, сообщение отправляется, полностью игнорируя требование ввода пароля.
Доступ к WhatsApp и другим сервисам
Механизм обхода не ограничивается только SMS. Злоумышленник может получить доступ к другим приложениям, доступ к которым был запрещен для ИИ-помощника, используя специфические запросы. Например, для открытия WhatsApp достаточно ввести в поле Gemini команду «@WhatsApp». В этом случае система также пропускает этап ввода PIN-кода, предоставляя полный доступ к переписке.
Масштаб проблемы и реакция Google
Google уже подтвердила наличие этой ошибки и пообещала выпустить исправление в рамках обновления, которое выйдет на этой неделе. Компания уточнила, что на устройствах Pixel данный способ обхода блокировки не работает. Также поступали сообщения о том, что ошибка не воспроизводится на смартфонах Samsung, однако полный список производителей, чья продукция подвержена этой уязвимости, не разглашается.
Эксперты отмечают, что для реализации атаки необходим физический доступ к устройству, что в реальных сценариях может быть затруднительно. Тем не менее, возможность отправлять сообщения от имени жертвы, используя ее номер телефона, представляет собой реальную угрозу, которую нельзя недооценивать.
