Gemini sous le feu des hackers grâce à Google Calendar

Un dysfonctionnement récent de Google Calendar exploite l’intelligence artificielle Gemini pour contrôler à distance des objets connectés et accéder à des données personnelles, soulevant de sérieuses inquiétudes sur la sécurité des utilisateurs face à cette faille technique.

Une vulnérabilité discrète dans l’écosystème Google

Derrière la promesse d’un assistant intelligent, la découverte récente par les experts de SafeBreach dévoile une faiblesse inattendue : une simple invitation malveillante sur Google Calendar peut servir de cheval de Troie à l’encontre de Gemini, l’assistant dopé à l’IA générative. L’attaque, révélée dans un rapport technique, illustre comment un scénario quotidien — consulter son agenda — suffit à déclencher le piratage.

Mécanique de l’attaque : quand la routine devient une faille

Le stratagème s’appuie sur une forme ingénieuse de « prompt injection ». En dissimulant une commande dans le titre d’un événement, les attaquants parviennent à orienter le comportement de l’assistant. Imaginez : vous demandez « Quels sont mes rendez-vous aujourd’hui ? », et sans le savoir, vous ouvrez la porte à des actions non sollicitées. Parmi les conséquences relevées :

• Exfiltration de données personnelles, telles que contenus d’emails ou position géographique.
• Pilotage d’appareils connectés, jusqu’à lancer des appels Zoom ou ouvrir des applications Android.
• Modification ou suppression d’événements du calendrier.

Notons que seule l’interaction classique avec Gemini, sans aucune manipulation suspecte, déclenche ce processus. Un détail technique : la faille nécessite parfois que six invitations soient envoyées pour tromper la limite d’affichage du calendrier — le piège se refermant discrètement, sans alerter la victime tant que celle-ci n’explore pas la liste complète.

L’intégration profonde de Gemini, atout et talon d’Achille

C’est toute la puissance – mais aussi la fragilité – de l’écosystème Google qui est ici mise en lumière. Grâce à son accès étendu à Gmail, Calendar et aux objets connectés via Google Home, Gemini offre une grande souplesse… qui se retourne contre lui en cas de détournement. Selon les chercheurs, ni les filtres ni les mesures anti-abus existantes n’ont bloqué cette attaque.

L’heure du correctif et les leçons à retenir

Heureusement, face à cette vulnérabilité, Google n’a pas tardé à réagir et a déjà déployé un correctif, saluant au passage le travail des chercheurs. Cette affaire rappelle qu’à mesure que nos assistants numériques gagnent en autonomie et en pouvoir d’action sur notre environnement numérique et physique, leur sécurité doit demeurer au cœur des préoccupations.