Expertos advierten de un ataque que engaña a Gemini para que filtre datos de los usuarios: "Los envían a un correo ajeno sin confirmación"

Un ataque de ciberseguridad es capaz de robar datos personales de los usuarios al esconder en imágenes una inyección de indicaciones multimodal invisible que, cuando el usuario las carga en sistemas como Gemini CLI, la inteligencia artificial (IA) ejecuta estos y filtra los datos de la víctima. El escalado de imágenes ha sido descubierto como un "arma" contra los sistemas de inteligencia artificial de producción, como Gemini CLI, Vertex Al Studio o la API de Gemini, Google Assistant y Genspark, entre otros.

En profundidad

Al enviar una imagen aparentemente inofensiva a un modelo de lenguaje, este es capaz de robar datos privados, tal y como ha recogido en una publicación el equipo de The Trail of Bits. Esto sucede porque esa imagen esconde indicaciones o 'prompts' multimodales invisibles para el usuario. Sin embargo, la inteligencia artificial es capaz de ejecutar esos 'prompts' y a partir de ellos filtrar los datos de la víctima.

Este proceso funciona a través del escalado de imágenes, un proceso que se ejecuta automáticamente antes de que la IA analice el archivo. Por ello, al adjuntar una imagen en Gemini (ya sea en su agente de código abierto, en la web o en la API) el modelo no accede a la imagen original, sino a una versión escalada.

De esta manera, cuando los algoritmos de escalado se ejecutan en la imagen, el 'prompt' malicioso se descubre y Gemini lo ejecuta, activando herramientas como Zapier, una plataforma de automatización 'online' que conecta aplicaciones y servicios entre sí sin necesidad de programar.

A tener en cuenta

Con este procedimiento, los investigadores de The Trail of Bits han logrado extraer datos de usuarios almacenados en Google Calendar y enviarlos a un correo electrónico ajeno a la víctima sin confirmación, tal y como recogen en su informe.

Asimismo, han advertido de que este es uno de los muchos ataques de inyección rápida que ya se han demostrado en herramientas de codificación agéntica (como Claude Code y OpenAI Codex), y que han sido capaces de exfiltrar datos y ejecutar remotamente códigos mediante la explotación de acciones inseguras contenidas en entornos aislados, entre otros casos.