ثغرة "GeminiJack" الخطيرة: دعوة تقويم واحدة تسرّب أسرار جوجل Gemini Enterprise

اكتشف باحثون أمنيون ثغرة خطيرة تُدعى "GeminiJack" تستهدف نظام Gemini Enterprise، وهي ثغرة تتيح للمهاجمين سرقة بيانات مؤسسية حساسة دون أن يضطر المستخدم للنقر أو التفاعل مع أي شيء، مما يمثل تهديدًا كبيرًا لأمن البيانات.

تكمن خطورة هذه الثغرة في كونها من نوع "Zero Click"، حيث يتم تنفيذ الهجوم تلقائيًا بمجرد قراءة مساعد الذكاء الاصطناعي Gemini لوصف حدث تقويم تم إعداده مسبقًا بواسطة المهاجم. لا يتطلب الأمر فتح الدعوة أو حتى علم المستخدم بوجودها.

وفقًا للتقارير الأمنية، يعتمد الهجوم على تقنية تُعرف بحقن الأوامر غير المباشر. يرسل المهاجم دعوة تقويم تحتوي على تعليمات خفية ضمن حقل الوصف. عندما يقوم Gemini بمعالجة هذا الحدث ضمن سياق عمله المعتاد، فإنه ينفذ هذه الأوامر معتقدًا أنها جزء من مهمة عمل مشروعة.

الأوامر الخفية مصممة لتوجيه الذكاء الاصطناعي للبحث داخل بريد المستخدم ومستنداته عن كلمات مفتاحية حساسة مثل "الميزانية" أو "الاستحواذ"، ثم تجميع هذه المعلومات وإرسالها إلى خادم خارجي عبر رابط صورة مُضمّن وغير ظاهر للمستخدم.

تفاقم خطورة الوضع بسبب الصلاحيات الواسعة التي يمتلكها Gemini للوصول الكامل إلى بيئة Google Workspace، والتي صُممت لتسهيل العمليات الداخلية. النظام ينفذ الأوامر تلقائيًا لأنه يعجز عن التمييز بين الطلبات الشرعية والتلاعب الدلالي في النصوص، مما يجعل هذا النوع من التسريب صعب الرصد بأدوات الحماية التقليدية، حيث تتم مغادرة البيانات عبر قنوات يستخدمها الذكاء الاصطناعي بشكل روتيني.