Kalendereinladungen als Angriffsvektor auf Gemini
Forschende von SafeBreach demonstrierten, dass Anweisungen in Titel oder Beschreibung einer Kalendereinladung wirksam werden, sobald ein Assistent den Kalender liest. Weil ein Kalendereintrag von außen zugestellt werden kann, genügt der Versand einer Einladung, um Inhalte in den Kontext des Assistenten zu bringen.
- Zeitpunkt
- 2025
- Betroffenes System
- Gemini mit angebundenem Kalender und Gerätesteuerung
- Wirkung
- Fremdgesteuerte Aktionen bis in angebundene Gerätesteuerung
- Stand der Behebung
- Von Google nach der Meldung adressiert
- Primärquelle
- safebreach.com
Der Fall ist ein belegtes Beispiel für Prompt Injection in produktiven Systemen. Die Darstellung ist sachlich und erklärend; sie enthält keine Reproduktionsanleitung. Weitere Fälle stehen in der Vorfall-Übersicht.
Was passiert ist
Kalendereinträge sind Fremddaten wie jede Webseite oder E-Mail — sie landen ungefiltert im Kontextfenster, sobald der Assistent den Kalender auswertet.
Die Besonderheit: Eine Einladung erreicht das Postfach des Opfers, ohne dass dieses sie annehmen oder überhaupt öffnen muss.
In der Demonstration reichte die Wirkung bis in die Steuerung angebundener Geräte, weil der Assistent über entsprechende Werkzeuge verfügte.
Der Fall verbindet damit indirekte Injektion mit dem Kernproblem agentischer Systeme: Reichweite der Rechte.
Was der Fall zeigt
- Jede von außen befüllbare Datenquelle ist ein Injektionsvektor — auch scheinbar harmlose wie ein Kalender.
- Werkzeuge mit physischer Wirkung brauchen eine Freigabe außerhalb des Modells, nicht nur eine gute Systemanweisung.
- Die Angriffsfläche wächst mit jeder Integration, nicht mit der Zahl der Nutzer.
Verwendete Technik
-
Injektion über Kalender-Einladungen
Anweisungen werden in Titel oder Beschreibung eines Kalendereintrags versteckt und ausgelöst, sobald der Assistent den Kalender liest — bis hin zur Steuerung angebundener Geräte.
Risiko hoch -
Werkzeug-Missbrauch durch Injektion
Die eingeschleuste Anweisung veranlasst den Agenten, seine angebundenen Werkzeuge zweckwidrig einzusetzen — Mails versenden, Dateien schreiben, Käufe auslösen, Code ausführen.
Risiko hoch -
Indirekte Prompt Injection
Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit der Anwendung interagieren.
Risiko hoch
Quellen
- SafeBreach: Prompt-Injection-Angriff auf den Gemini-Sprachassistenten: https://www.safebreach.com/blog/gemini-voice-assistant-prompt-injection-exploit/