# Приглашение в календаре: инструкции в событии управляли Gemini и умным домом

> Исследователи из Тель-Авивского университета, Техниона и SafeBreach показали, что приглашение в Google Calendar со скрытыми инструкциями может заставить Gemini рассылать спам, извлекать данные из почты и календаря и даже управлять устройствами умного дома. Google до публикации внедрила многоуровневые защитные меры.

- Канонический HTML: [/incidents/gemini-calendar-invite-promptware](https://ai-first.tech/incidents/gemini-calendar-invite-promptware)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2025-08-06
- Категория: Внедрение инструкций
- Затронуто: Google Gemini для Workspace, Gemini в Android и Google Home
- Критичность: Высокий

## Что произошло

Бен Насси (Tel Aviv University), Став Коэн (Technion) и Ор Яир (SafeBreach) в феврале 2025 года сообщили о своих находках в программу вознаграждений Google за уязвимости AI. Работа получила название «Invitation Is All You Need» и описывает целевые атаки класса promptware, в которых вредоносные инструкции встроены в название или описание события. В июне 2025 года Google развернула дополнительные меры защиты. Результаты представлены на Black Hat USA 2025 и DEF CON 33 в начале августа 2025 года. По оценке исследователей, 73% выявленных угроз относятся к высокому или критическому уровню риска.

## Где нарушилась защита

Когда пользователь просил Gemini пересказать события календаря, текст приглашения от постороннего отправителя попадал в контекст модели как инструкция. Исследователи использовали отложенный вызов инструментов: ассистент выполнял скрытую команду не сразу, а после обычной реплики пользователя, что маскировало связь между запросом и действием. Поскольку Gemini связан с почтой, календарём, приложениями Android и Google Home, внедрённая инструкция получала доступ к этим инструментам. Граница доверия нарушалась там, где содержимое от внешнего отправителя управляло агентом с правами владельца аккаунта и устройств.

## Последствия

- Продемонстрированы сценарии утечки данных из почты и календаря, рассылки спама, удаления событий и управления устройствами умного дома
- По данным исследователей, это одна из первых демонстраций атаки на генеративный AI с последствиями в физическом мире
- Google заявила, что подобные атаки в реальных условиях крайне редки

## Реакция

Google в июне 2025 года развернула многоуровневую защиту: дополнительные подтверждения для чувствительных действий, проверку и очистку URL, политики уровней доверия и классификаторы для обнаружения внедрённых инструкций.

## Уроки для бизнеса

- Календарь, почта и названия документов стали каналами доставки команд для AI-ассистентов
- Подключение ассистента к инструментам и устройствам превращает утечку текста в реальные действия
- Отложенное выполнение затрудняет связь между вредоносным контентом и последствиями при расследовании

## Меры защиты

- Требовать явного подтверждения пользователя для чувствительных действий агента
- Ограничить, кто может добавлять события в календарь без подтверждения
- Разделять контекст от внешних отправителей и доверенный контекст пользователя
- Отключать связку ассистента с устройствами и сторонними приложениями там, где она не нужна

Связанные карточки угроз: A03, A04, A34, A54, A53

## Первоисточники

- [Invitation Is All You Need: Hacking Gemini](https://www.safebreach.com/blog/invitation-is-all-you-need-hacking-gemini/) — SafeBreach
- [Researchers hacked Google Gemini to take control of a smart home](https://www.engadget.com/cybersecurity/researchers-hacked-google-gemini-to-take-control-of-a-smart-home-201926464.html) — Engadget