Kasperskyは2026年7月16日（現地時間）、GoogleのAIアシスタント「Gemini」を狙うプロンプトインジェクション攻撃の研究結果と対策を発表した。研究を実施したのは、攻撃シミュレーション（BAS：Breach and Attack Simulation）を手掛けるSafeBreachである。予定表やSMS、SNSなどのDMに命令を埋め込むと、利用者が許可していない操作をGeminiに実行させられるという。
攻撃の対象はGoogle Workspace版とAndroidの音声版だ。音声版はスマートフォンから「Google Home」と連携し、空調や照明、鍵やドアまで操作できる。この経路を突くと、1通のメッセージでドアを開けたり、「Zoom」の通話を始めたり、長期記憶に命令を保存したりできる。
Geminiの防御をすり抜ける4段階の攻撃連鎖
背景には、大規模言語モデルが命令と処理対象のデータを確実に区別しにくい問題がある。研究者の間では決定的な防御策はないとの見方が広く、防御策が加わるたびに回避手法が現れる攻防が続く。Geminiにも複数の安全対策があるが、SafeBreachは手法を組み合わせて突破した。
第1段階は間接プロンプトインジェクションだ。攻撃者はメールや予定表、メッセージなど、Geminiが読む外部コンテンツに悪意ある指示を隠す。第1の研究ではカレンダー項目、第2の研究ではメッセージ内のリンクが入口となった。
第2段階は長期記憶の悪用である。特定条件で発動する命令や、繰り返し働く指示を記憶へ保存させる。投稿の質問ごとに特定企業を推薦させる例が示された。第3段階は遅延実行で、メール読み取り直後の異常操作を防ぐ防御を避け、次回の利用者操作後に命令を実行させる。朝のメールを読む際、家のドアも開けるよう仕込む形だ。
第4段階は偽の文章整合だ。Googleはメール送信やスマートホーム操作時に、利用者が事前に依頼した内容かどうかを確認する対策を導入した。研究者は、画面に見えない部分や利用者が理解できない言語に悪意ある命令を置き、その直後に平易な確認質問を表示した。利用者が「はい」と答えると、隠れた命令まで承認済みと扱わせる仕組みだった。
被害後の操作と対策
被害後の操作はGeminiに与えられた権限に左右される。Workspaceでは予定表データの削除やメール情報の外部送信、外部サイトの表示、偽情報の生成と提示が可能になる。スマートフォン版ではGoogle Homeを介し、空調の変更、鍵やドアの開閉、照明や音楽の操作を実行できる。任意のリンクを開く機能を使い、指定したZoom通話を起動し、URLのパラメーター経由で端末情報や位置情報を奪う攻撃も成功した。追加の回避手法が必要な場合もあるが、研究では各操作が実現可能とされた。
メールと予定表を狙う攻撃において、会議名やメール件名に命令を埋め込んだ。Geminiは当日の予定を尋ねられると最初の5件だけを読み上げ、残りは利用者が「表示」を選ばない限り画面に出さない。攻撃者はこの仕様で見えない多数の指示を登録できる。Geminiは非表示部分も処理するため、予定表に関する命令を受けると、偽情報の提示や次の操作後の不正実行が始まる。
Android版では、通知領域へのアクセスが攻撃の起点になりやすい。Geminiは各アプリが通知欄に出した文章を読めるため、SMS、アプリ内メッセージ、SNSのDMが入口になる。研究者はこの攻撃面を事実上無限と表現した。外部ツールなしでも、音声アシスタントにシステム障害を装わせて復旧操作を促すClickFix型詐欺や、未知の送信者の文面を信頼する人物から届いたように読み上げる偽装が可能だった。
ツール操作の実験において、Geminiが多言語を理解する点と、読み上げ対象の単語がハイパーリンクの場合に発音されない挙動を組み合わせた。研究者は無害に見えるURLをリンクにし、利用者が理解しない中国語で命令を書き、その後に英語の確認質問を続けた。利用者の「はい」や「分かった」が、隠れた命令を含む全体への承認として処理された。この方法はGoogle Home操作や危険なリンクの起動だけでなく、長期記憶への命令登録にも使えた。記憶は同じアカウントの端末間で共有されるため、一通のスマートフォンメッセージから、別端末で業務メールを扱うGeminiへ影響が及ぶ可能性も示された。
Googleの修正と推奨対策
Googleは研究で示された脆弱性を修正したが、Kasperskyは新たな回避手法が現れる可能性を指摘した。利用者側の対策として、通知プレビューの停止、「Gmail」やWorkspaceのスマート機能の無効化、接続アプリや不要な権限の解除、「Gemini Utilities」によるシステム機能へのアクセス停止を挙げた。音声操作を残す場合は、Android設定からGoogleとGeminiの通知アクセスを不許可にする方法もある。固定アシスタントの変更や起動機能の無効化も選択肢となる。
