Vulnerabilidad en integración de Gemini con Google Calendar permite manipulación de eventos privados
Una vulnerabilidad en Gemini y Google Calendar pone en riesgo la privacidad, permitiendo a ciberdelincuentes manipular eventos mediante instrucciones encubiertas.
Un equipo de investigación en seguridad digital ha descubierto una vulnerabilidad en la integración de Gemini con Google Calendar que ciberdelincuentes podrían aprovechar para evadir controles de privacidad. Según el informe, los atacantes envían invitaciones a eventos con instrucciones en lenguaje natural que Gemini interpreta como comandos, activando una acción cuando el usuario realiza una pregunta relacionada, como «¿tengo libre el sábado?».
Este método permite enviar instrucciones ocultas en las invitaciones, que permanecen inactivas hasta que el usuario interactúa con el asistente. En ese momento, Gemini analiza las conversaciones y eventos del usuario y puede crear nuevos recordatorios o eventos con información privada, que los atacantes pueden consultar posteriormente.
El equipo de investigación reportó esta vulnerabilidad a Google, que confirmó el problema y lanzó un parche para solucionarlo. Sin embargo, los expertos advierten que este caso ejemplifica una tendencia preocupante en los sistemas basados en inteligencia artificial: las instrucciones maliciosas ya no son explícitas, sino que están ocultas en formulaciones aparentemente inocentes y amigables.
Este caso también pone de manifiesto que las medidas de protección tradicionales son insuficientes frente a las tecnologías de IA, dadas las capacidades de análisis contextual y semántico de estos modelos. Por ello, es urgente desarrollar estrategias de seguridad que consideren la interpretación y el contexto de las interacciones en los sistemas automatizados.
Como dato adicional, los investigadores señalan que existen otras técnicas que ocultan comandos maliciosos en imágenes para robar datos sin ser detectados. Ante estos desafíos, se recomienda estar atentos a las novedades en ciberseguridad y aplicar las mejores prácticas para proteger la privacidad y los datos personales en entornos digitales.