في هذا المقال
كشف تقرير جديد عن ثغرة أمنية في مساعد الذكاء الاصطناعي جيميناي على نظام أندرويد 16، تسمح لأي شخص يمتلك الهاتف بإرسال رسائل نصية ورسائل عبر “واتساب” من شاشة القفل، دون الحاجة إلى إدخال رمز PIN أو فتح الجهاز.
وأكدت “غوغل” أنها على علم بالمشكلة، وأن تحديثًا لإصلاحها بدأ بالفعل في الوصول إلى المستخدمين.
كيف تعمل الثغرة؟
وبحسب التقرير، تعتمد الثغرة على تنفيذ خطوة محددة للغاية.
عند إلغاء صلاحية جيميناي للوصول إلى تطبيق الرسائل، يفترض أن يطلب المساعد من المستخدم فتح التطبيق، ثم إدخال رمز PIN قبل إرسال أي رسالة، بحسب تقرير نشره موقع “digitaltrends” .
لكن إذا ضغط المستخدم على زر Continue بالتزامن مع زر Add Attachment داخل جيميناي، يتم تجاوز آلية الحماية بالكامل، ويستطيع المساعد إرسال الرسالة النصية دون أي عملية تحقق من الهوية.
“واتساب” أيضًا معرض للخطر
ولا تتوقف المشكلة عند الرسائل النصية.
وبحسب التقرير، يمكن للمهاجم كتابة عبارة مثل @WhatsApp داخل حقل إدخال جيميناي، ليعيد المساعد ربط تطبيق “واتساب” بحسابه تلقائيًا، حتى إذا كان المستخدم قد فصل هذا الربط سابقًا.
والأخطر أن هذه العملية تتم دون طلب رمز القفل، لتظهر إعدادات الهاتف لاحقًا وكأن المستخدم هو من وافق بنفسه على إعادة ربط التطبيق.
هل تشكل الثغرة خطرًا كبيرًا؟
يشير التقرير إلى أن استغلال الثغرة يتطلب الوصول الفعلي إلى الهاتف، لذلك فهي أقل خطورة من الهجمات التي يمكن تنفيذها عن بُعد.
ومع ذلك، يحذر الباحثون من إمكانية استغلالها في حالات سرقة الهواتف، حيث قد يتمكن اللص من إرسال رسائل احتيالية أو انتحال شخصية صاحب الهاتف قبل أن يتمكن الأخير من قفل جهازه أو استعادته.
ليست مقتصرة على هواتف بيكسل
ووفقًا للتقرير، لا تقتصر الثغرة على هواتف بيكسل، إذ يمكن أن تؤثر أيضًا في أجهزة أندرويد أخرى تعمل بالإصدار المتأثر.
لكن بعض المستخدمين أفادوا بعدم تمكنهم من إعادة إنتاج الثغرة على هواتف “سامسونغ”، فيما لم توضح “غوغل” حتى الآن الطرازات أو الشركات المصنعة التي لا تزال معرضة لهذه المشكلة.
ماذا يجب أن تفعل الآن؟
أوضحت “غوغل” أنها بدأت بالفعل طرح تحديث أمني يعالج الثغرة، ومن المتوقع أن يصل إلى الأجهزة خلال الأيام القليلة المقبلة.
وإلى حين تثبيت التحديث، ينصح الخبراء بتعطيل إمكانية استخدام جيميناي من شاشة القفل، باعتبارها الوسيلة الأكثر أمانًا لمنع استغلال الثغرة حتى وصول الإصلاح الرسمي.
