Puntos clave:
- Una vulnerabilidad en Gemini permitía la filtración de datos privados del calendario sin acciones sospechosas del usuario
- El ataque utilizaba inyección indirecta de prompt oculta en invitaciones de reuniones
- Google confirmó el problema y aplicó una corrección tras la divulgación responsable
Investigadores de seguridad revelaron esta semana una falla crítica en Google Gemini que podía exponer información privada de Google Calendar mediante invitaciones de reuniones aparentemente normales.
El hallazgo fue realizado por Miggo Security y volvió a encender las alarmas sobre los límites actuales de la seguridad en sistemas de inteligencia artificial integrados a servicios personales y corporativos.
De acuerdo con los investigadores, la víctima no necesitaba hacer clic en enlaces ni aceptar permisos especiales. Bastaba con formular una pregunta cotidiana al asistente, como consultar la disponibilidad en una fecha específica, para que el ataque se ejecutara de forma silenciosa.
Cómo se aprovechaba la vulnerabilidad en Gemini
La falla se basaba en una técnica conocida como inyección indirecta de prompt. En este tipo de ataque, instrucciones maliciosas se esconden dentro de contenidos que la IA está diseñada para interpretar. En este caso, el vector era una invitación estándar de calendario.
El atacante enviaba un evento con un texto cuidadosamente elaborado en el campo de descripción. Ese contenido indicaba al Gemini que recopilara información de otras reuniones privadas del usuario y generara un nuevo evento con un resumen de esos datos, todo sin generar alertas visibles.
Un ataque en tres fases invisibles
El proceso seguía una cadena clara. Primero, se enviaba la invitación con la carga maliciosa, que quedaba latente. Luego, cuando el usuario consultaba su agenda a través de Gemini, el asistente analizaba todos los eventos relevantes, incluido el evento manipulado. Finalmente, Gemini creaba un nuevo evento con información privada resumida, que en muchos entornos corporativos podía quedar visible para terceros, incluso para el atacante.
Mientras tanto, la víctima no percibía nada fuera de lo normal. El asistente respondía de forma inocente a la pregunta original, ocultando que los datos ya habían sido expuestos.
Un llamado de atención para la seguridad de la IA
Google confirmó la existencia de la vulnerabilidad y señaló que ya fue corregida tras la divulgación responsable. Sin embargo, los especialistas advierten que el caso pone en evidencia un problema más profundo: los sistemas de IA todavía tienen dificultades para interpretar correctamente la intención cuando el ataque se presenta en lenguaje natural.
No es la primera vez que Gemini enfrenta problemas de este tipo. Incidentes anteriores muestran que los riesgos ya no se limitan al código, sino también al contexto y al comportamiento dinámico de los modelos. Por este motivo, la inyección de prompt figura como la principal amenaza emergente en el ranking de seguridad para modelos de lenguaje del OWASP en 2025.
Para los expertos, el episodio refuerza una conclusión clave: cuanto más acceso tienen los asistentes de IA a datos sensibles, mayor es la necesidad de proteger no solo los sistemas, sino también la forma en que la IA interpreta el lenguaje.
