Une invitation de calendrier piégée détourne Google Gemini pour piloter des appareils domotiques
Des chercheurs de l’Université de Tel-Aviv, du Technion et de SafeBreach ont montré qu’une invitation Google Agenda portant une injection de prompt indirecte dans son titre pouvait détourner Gemini lorsque la victime lui demandait ensuite de résumer ses prochains événements, en invoquant ses agents pour ouvrir des fenêtres connectées, allumer une chaudière, éteindre des lumières, lancer des appels Zoom, envoyer du spam et voler des courriels et des détails de réunions. Ils ont démontré 14 attaques et classé 73 % des menaces en risque élevé ou critique. Google a déclaré que les failles n’avaient pas été exploitées par des pirates malveillants et a déployé plusieurs correctifs, dont des confirmations renforcées pour les actions sensibles, avant la divulgation d’août 2025.
Les chercheurs ont signalé leurs conclusions à Google en février 2025. Pour contourner une mesure de Google contre l’enchaînement d’agents, ils ont recouru à l’invocation différée d’outils : une réponse ultérieure comme « merci » ouvrait alors les fenêtres. Google a soutenu que les chercheurs avaient modifié les paramètres par défaut définissant qui peut ajouter des invitations au calendrier ; les chercheurs affirment que certaines attaques fonctionnaient aussi via des objets de courriel ou des titres de documents.
Contesté. Google soutient que les chercheurs ont modifié les paramètres par défaut définissant qui peut ajouter des invitations à un calendrier et qualifie de théoriques les techniques de l’article ; les chercheurs affirment que certaines attaques fonctionnaient aussi via des objets de courriel ou des titres de documents.
Ce qui l’aurait évité
Exiger une confirmation explicite de l’utilisateur pour les actions dans le monde physique ou vers l’extérieur déclenchées pendant le traitement de contenus tiers.
Garde-fous
- G1 Moindre privilège Non évalué L’agent n’avait-il que les accès nécessaires à sa tâche ?
- G2 Validation humaine Partiel Des déclencheurs différés s’activaient sur des réponses anodines comme « merci » ; Google a ensuite ajouté des confirmations pour les actions sensibles.
- G3 Isolement Partiel Google bloquait l’enchaînement direct entre agents, mais l’invocation différée d’outils l’a contourné.
- G4 Intégrité des instructions Défaillant Gemini a suivi des instructions intégrées dans une invitation de calendrier d’un attaquant.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Non évalué Une personne responsable pouvait-elle voir ce qu’il faisait et l’arrêter à temps ?
- G8 Réversibilité Non évalué Les dégâts pouvaient-ils être réparés ?
Sources
-
“Along the way, we were able to demonstrate a number of different exploitations of Targeted Promptware against Gemini that were initiated simply by an attacker sending a Google Calendar invite to a victim whose name contained an indirect prompt injection.”
-
“When the researchers subsequently ask Gemini to summarize their upcoming calendar events for the week, those dormant instructions are triggered, and the products come to life.”
L’indice de confiance de 87 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 2 sources