Le « Trifecta Gemini » : Comment 3 failles IA de Google menaçaient vos données (Historique, Mots de passe, Localisation)

 

Trois nouvelles vulnérabilités dans la suite d'assistants Gemini AI de Google auraient pu permettre aux attaquants d'exfiltrer les informations enregistrées et les données de localisation des utilisateurs.

Les vulnérabilités découvertes par Tenable, surnommées le « Trifecta Gemini », illustrent comment les systèmes d'IA peuvent devenir des vecteurs d'attaque, et non plus seulement des cibles. L'étude a révélé d'importants risques pour la confidentialité dans différents composants de l'écosystème Gemini.

Bien que Google ait depuis corrigé les problèmes, cette découverte rappelle de manière cruciale les défis de sécurité inhérents aux plateformes hautement personnalisées et pilotées par l'IA. Les trois vulnérabilités distinctes ciblaient des fonctions distinctes de Gemini.

Trifecta Gémeaux

Gemini Cloud Assist : Une vulnérabilité d'injection d'invites dans l'outil Google Cloud aurait pu permettre à des attaquants de compromettre des ressources cloud ou de lancer des tentatives d'hameçonnage . Les chercheurs ont découvert que les entrées de journal, que Gemini peut synthétiser, pouvaient être contaminées par des invités malveillants. Il s'agit d'une nouvelle classe d'attaque où les injections de journaux peuvent manipuler les entrées de l'IA.

Modèle de personnalisation de recherche Gemini : Cette faille d'injection de recherche permettait aux attaquants de contrôler le comportement de Gemini en manipulant l'historique de recherche Chrome d'un utilisateur. En injectant des requêtes de recherche malveillantes, un attaquant pouvait piéger Gemini et lui faire divulguer les informations enregistrées et les données de localisation d'un utilisateur.

Outil de navigation Gemini : une vulnérabilité dans cet outil permettait l'exfiltration directe des informations enregistrées par un utilisateur. Des attaquants pouvaient exploiter cette fonctionnalité pour envoyer des données sensibles à un serveur externe.

La méthodologie d'attaque s'articulait autour de deux étapes : infiltration et exfiltration. Les attaquants devaient d'abord injecter une invite malveillante que Gemini traiterait comme une commande légitime. Tenable a découvert des méthodes furtives pour cette « injection d'invite indirecte », telles que l'intégration d'instructions dans l'en-tête User-Agent d'une entrée de journal ou l'utilisation de JavaScript pour ajouter silencieusement des requêtes malveillantes à l'historique du navigateur d'une victime.

Une fois l'invite injectée, le défi suivant consistait à extraire les données, en contournant les mesures de sécurité de Google qui filtrent les sorties telles que les hyperliens et les démarques d'images.

Les chercheurs ont découvert qu'ils pouvaient exploiter l'outil de navigation Gemini comme canal auxiliaire. Ils ont créé une invite demandant à Gemini d'utiliser son outil de navigation pour récupérer une URL, intégrant ainsi les données privées de l'utilisateur directement dans la requête d'URL envoyée à un serveur contrôlé par l'attaquant.

Cette exfiltration s'est produite via l'exécution d'outils plutôt que via le rendu de réponses, contournant ainsi de nombreuses défenses de Google. Google a corrigé avec succès les trois vulnérabilités. Les correctifs incluent l'arrêt de l'affichage des hyperliens dans les résumés de journaux, la restauration du modèle de personnalisation de recherche vulnérable et la prévention de l'exfiltration de données via l'outil de navigation lors d'injections indirectes d'invites.