Cuando un asistente de voz se convierte en un vector de ataque, el modelo de amenazas cambia. En lugar de luchar contra la instalación de malware o los diálogos de permisos, un atacante solo necesita crear una notificación maliciosa desde una aplicación de mensajería de confianza. Hallazgos recientes revelaron que Google Gemini en Android podría ser secuestrado mediante notificaciones manipuladas. Enviado a través de WhatsApp, Slack, Signal, Instagram Messenger o SMS, sin necesidad de tener una aplicación maliciosa en el dispositivo.
La superficie de ataque: análisis de notificaciones sin contención
Los asistentes de voz están diseñados para ser receptivos. Monitorean las frases clave, escuchan los comandos de voz y ejecutan acciones basadas en la información en lenguaje natural. La vulnerabilidad se originó en la forma en que Gemini procesaba el contenido de las notificaciones: analizaba y ejecutaba las instrucciones incrustadas en el texto de la notificación sin sanitizar adecuadamente la información ni verificar la intención del remitente.
Un atacante podría enviar un mensaje de WhatsApp con comandos como "abre mis archivos", "envía un mensaje a mi jefe" o "únete a una llamada de Zoom". Si ese mensaje activara una notificación y Gemini lo procesara como un comando de voz directo, el asistente ejecutaría la acción. La notificación actúa como un envoltorio, haciendo que la instrucción parezca legítima y eludiendo los flujos de autenticación habituales.
Esto constituye un fallo de contención. Las notificaciones se tratan como una superficie de baja confianza, pero el asistente les otorgó los mismos privilegios de ejecución que a la entrada de voz verificada. Sin verificación de huella de voz. Sin gestos explícitos del usuario. Sin diálogo de confirmación.
Envenenamiento persistente del estado y corrupción de la memoria
El alcance se extendía más allá de comandos individuales. Gemini mantiene una memoria de contexto, un almacenamiento a largo plazo del historial de conversaciones y las preferencias del usuario que se utiliza para personalizar las respuestas. Un atacante sofisticado podría inyectar contexto malicioso en esta memoria mediante notificaciones manipuladas, lo que provocaría que el asistente malinterpretara comandos legítimos futuros o filtrara información confidencial en interacciones posteriores.
Esto resulta especialmente peligroso en situaciones donde Gemini se integra con dispositivos domésticos inteligentes conectados, sistemas de calendario o clientes de mensajería. Un estado de memoria corrupto podría provocar que se ejecuten acciones incorrectas horas o días después, lo que dificulta enormemente la identificación del problema y la depuración para el usuario.
Infraestructura e implicaciones para la privacidad
Para los usuarios que alojan servicios en dispositivos móviles o que dependen de Android como punto final de confianza en una infraestructura más amplia —como quienes administran servidores domésticos, gestionan redes IoT o utilizan Android como puerta de enlace VPN— esta vulnerabilidad representa una importante brecha de confianza. Un atacante podría pasar de una notificación maliciosa a un compromiso más amplio del dispositivo.
El ataque también pone de manifiesto por qué los usuarios preocupados por su privacidad deben analizar detenidamente la integración de los asistentes de voz. Los asistentes que procesan automáticamente las notificaciones sin un control explícito se convierten en interfaces de comandos no deseadas. Si su infraestructura depende de dispositivos móviles seguros o si utiliza Android para tareas delicadas, las vulnerabilidades de los asistentes de voz justifican una revisión de la arquitectura.
Además, los canales de notificación (WhatsApp, Slack, SMS) están cifrados o, en la mayoría de los casos, fuera del control del atacante. El riesgo no reside en que el atacante pueda interceptar la notificación, pues no puede. El riesgo radica en que las aplicaciones de mensajería y el asistente de voz del sistema operativo carecen de una barrera de seguridad entre el contenido generado por el usuario y los comandos del asistente.
Medidas de mitigación y lecciones aprendidas
Google solucionó este problema restringiendo la capacidad de Gemini para analizar y ejecutar comandos a partir del contenido de las notificaciones. Ahora, el asistente requiere una invocación de voz explícita o interacción con la pantalla para ejecutar acciones delicadas. Las notificaciones ahora se tratan únicamente como informativas: activan alertas, pero no la ejecución de comandos.
Para los equipos de infraestructura y seguridad, este incidente subraya un principio fundamental: nunca confiar en una única fuente de entrada. Los asistentes de voz deben verificar los comandos a través de múltiples canales (reconocimiento de voz, autenticación del dispositivo, gestos del usuario), en lugar de considerar todos los vectores de entrada como equivalentes. Los sistemas de notificación deben estar arquitectónicamente separados de los procesos de ejecución de comandos.
Si su modelo de amenazas incluye canales de mensajería comprometidos o fuentes de notificación no confiables, desactive las funciones del asistente de voz que carecen de confirmación explícita del usuario o utilice dispositivos sin asistentes que estén siempre a la escucha para tareas de infraestructura sensibles.
