Gemini bevat een ernstige kwetsbaarheid maar Google gaat het niet oplossen
Geregeld komen er onderzoeken naar buiten die wijzen op de kwetsbaarheid van AI-systemen. Heel wat chatbots zijn kwetsbaar voor prompt injection, waarbij websites zonder dat je het doorhebt prompts meegeven aan een AI-chatbot. Gemini lijkt nu kwetsbaar voor een soortgelijke aanval onder de noemer ‘ASCII smuggling’, waarbij specifieke karakters in een tekst door Googles AI-chatbot worden gelezen als een commando.
Die karakters hebben dus invloed op hoe de AI-chatbot zich gedraagt en op de uitkomst van zijn acties. Voor gebruikers zijn de karakters echter onzichtbaar, en vaak is het ook niet duidelijk dat een AI-chatbot die commando’s overneemt. Zelfs als je de bron onder de loep neemt waar de AI zijn informatie vandaan haalt, zijn deze commando’s niet te spotten: de Unicode-tekens komen niet in beeld.
Gevaren voor Google Workspace
Gemini’s kwetsbaarheid voor dit type aanval werd ontdekt door beveiligingsonderzoeker Viktor Markopoulos, onderzoeker bij FireTail. Naast Gemini nam Markopoulos voor zijn onderzoek nog vijf andere chatbots onder de loep: DeepSeek, Grok, ChatGPT, Copilot en Claude. Van deze zes chatbots vielen er slechts drie door de mand – naast Gemini gaat het om DeepSeek en Grok. De andere chatbots blokkeerden de injectie van commando’s via Unicode-tekens.
Wat de injectie van commando’s bij Google ernstiger maakt, is dat Gemini diep geïntegreerd is in Google Workspace. Het kan dus heel wat gegevens uit Google-apps ophalen en er potentieel misbruik van maken of schadelijke acties uitvoeren.
‘Aanval gebaseerd op social engineering’
Aansluitend op zijn onderzoek heeft Markopoulos Google van de risico’s op de hoogte gebracht. De zoekgigant meent echter dat het oplossen van dit probleem zijn gebruikers ‘niet per se minder kwetsbaar maakt’ voor dit type aanvallen. Ook meent het dat het omschreven probleem er vooral mee te maken heeft dat gebruikers misleid worden, en dat het niet zozeer een fout is in het ontwerp van Gemini.
Er lijkt dus geen oplossing te komen voor de genoemde kwetsbaarheid. Eerder loste Google wel kwetsbaarheden in Gemini op die search- en prompt injection mogelijk maakten. Ook bleek het mogelijk om opgeslagen gebruikersdata buit te maken via de Gemini Browsing Tool. Die fouten zijn intussen opgelost.
