Eksperci ostrzegają przed atakiem, który pozwala Gemini na wyciek danych użytkownika: „Wiadomości są wysyłane na adres e-mail innej osoby bez potwierdzenia”.

Atak cybernetyczny może doprowadzić do kradzieży danych osobowych użytkowników poprzez ukrycie niewidocznego, multimodalnego wstrzykiwania podpowiedzi w obrazach. Gdy użytkownik wczytuje je do systemów takich jak Gemini CLI, sztuczna inteligencja (AI) wykonuje podpowiedzi i eksfiltruje dane ofiary. Skalowanie obrazów zostało odkryte jako „broń” przeciwko produkcyjnym systemom AI, takim jak Gemini CLI, Vertex AI Studio, Gemini API, Asystent Google i Genspark, między innymi.

Wysyłając pozornie nieszkodliwy obraz do modelu językowego, jest on w stanie wykraść prywatne dane, o czym donosi zespół The Trail of Bits we wpisie. Dzieje się tak, ponieważ obraz ukrywa multimodalne komunikaty, które są niewidoczne dla użytkownika. Sztuczna inteligencja jest jednak w stanie wykonać te komunikaty i wydobyć z nich dane ofiary.

Proces ten działa poprzez skalowanie obrazu, proces uruchamiany automatycznie, zanim sztuczna inteligencja przeanalizuje plik. Dlatego po dołączeniu obrazu do Gemini (czy to w agencie open source, w internecie, czy za pośrednictwem API), model nie uzyskuje dostępu do oryginalnego obrazu, lecz do jego przeskalowanej wersji.

W ten sposób, gdy algorytmy skalujące zostaną uruchomione na obrazie, złośliwy monit zostanie wykryty i wykonany przez Gemini , co spowoduje uruchomienie narzędzi takich jak Zapier, czyli internetowej platformy automatyzacji, która łączy aplikacje i usługi bez konieczności programowania.

Korzystając z tej metody, badacze z The Trail of Bits zdołali wyodrębnić dane użytkownika zapisane w Kalendarzu Google i wysłać je na adres e-mail inny niż adres ofiary, bez potwierdzenia, jak szczegółowo opisano w ich raporcie.

Ostrzegają również, że jest to jeden z wielu ataków polegających na szybkim wstrzykiwaniu kodu , które już zademonstrowano w narzędziach do kodowania agentowego (takich jak Claude Code i OpenAI Codex). Udaje im się wykraść dane i zdalnie wykonać kod, wykorzystując między innymi niebezpieczne działania zawarte w piaskownicach.