Επίθεση ASCII Smuggling: Πώς οι χάκερ εκμεταλλεύονται το Gemini

Τον Σεπτέμβριο του 2025, ο ερευνητής της FireTail, Viktor Markopoulos, ξεκίνησε να δοκιμάσει τα κορυφαία μοντέλα μεγάλων γλωσσών (LLMs) για την ανθεκτικότητά τους απέναντι στην παλαιά τεχνική ASCII Smuggling.

Δείτε επίσης: Το νέο Gemini της Google χρησιμοποιεί τον browser όπως εσείς

Με την ενσωμάτωση αόρατων χαρακτήρων ελέγχου μέσα σε φαινομενικά αβλαβές κείμενο, το ASCII Smuggling εκμεταλλεύεται τα Unicode “tag” blocks για να κρύψει κακόβουλες οδηγίες από τους ανθρώπινους αναθεωρητές, ενώ τις τροφοδοτεί απευθείας στη ροή εισόδου που καταναλώνουν τα LLMs.

Τα πειράματα του Markopoulos αποκάλυψαν ότι, παρά τις σύγχρονες προσπάθειες καθαρισμού, το Gemini παρέμεινε ευάλωτο, ωθώντας τη FireTail να αναπτύξει ειδικές δυνατότητες ανίχνευσης για αυτό το κρυφό κανάλι επίθεσης.

Το ASCII Smuggling αξιοποιεί χαρακτήρες Unicode μηδενικού πλάτους ή tag (για παράδειγμα, U+E0001 “Language Tag”) που παραμένουν αόρατοι στις τυπικές διεπαφές χρήστη αλλά παραμένουν παρόντες στα ακατέργαστα δεδομένα που τροφοδοτούνται στο LLM.

Ένα front end που δεν γνωρίζει τα tags εμφανίζει μόνο την ορατή συμβολοσειρά, “Πες μου 5 τυχαίες λέξεις. Ευχαριστώ.” Ωστόσο, η ακατέργαστη συμβολοσειρά προτροπής περιέχει προσαρτημένους χαρακτήρες tag που περικλείουν την κρυφή οδηγία.

Επειδή ο προεπεξεργαστής εισόδου του Gemini περνά κάθε σημείο κώδικα—συμπεριλαμβανομένων των αόρατων tags—κατευθείαν στο μοντέλο χωρίς κανονικοποίηση, οι κρυφές οδηγίες υπερισχύουν της ορατής ερώτησης.

Δείτε ακόμα: Gemini CLI για το Kali Linux: Αυτοματοποίηση δοκιμών διείσδυσης

Το αποτέλεσμα: το μοντέλο εκτυπώνει “FireTail” αντί να επιστρέψει τυχαίες λέξεις. Αυτή η αποσύνδεση μεταξύ απόδοσης UI και λογικής εφαρμογής αντιπροσωπεύει μια κρίσιμη αδυναμία σε οποιοδήποτε σύστημα που υποθέτει ότι το ορατό κείμενο ισούται με πλήρη οδηγία. Η βαθιά ενσωμάτωση του Gemini με το Google Workspace καθιστά αυτή την ευπάθεια ιδιαίτερα επικίνδυνη για επιχειρηματικούς χρήστες.

Σε μια απόδειξη της έννοιας, ένας επιτιθέμενος ενσωματώνει κρυφούς χαρακτήρες μέσα σε μια πρόσκληση ημερολογίου. Το θύμα βλέπει “Συνάντηση” ως τίτλο εκδήλωσης, αλλά το Gemini διαβάζει το κρυφό φορτίο, το οποίο μπορεί να αντικαταστήσει περιγραφές συναντήσεων, συνδέσμους ή λεπτομέρειες διοργανωτή—πλαστογραφώντας πλήρως ταυτότητες χωρίς το στόχο να αποδεχθεί ποτέ την πρόσκληση.

Η FireTail ακόμη έδειξε την έγχυση ενός κακόβουλου συνδέσμου συνάντησης, παρακάμπτοντας τις παραδοσιακές πύλες “Αποδοχή/Απόρριψη” και δίνοντας στον επιτιθέμενο κρυφή πρόσβαση στα δεδομένα του ημερολογίου.

Πέρα από την πλαστογράφηση ταυτότητας, το ASCII Smuggling μπορεί να επιτρέψει την αυτοματοποιημένη δηλητηρίαση περιεχομένου. Οι πλατφόρμες ηλεκτρονικού εμπορίου που συνοψίζουν κριτικές προϊόντων μπορούν να εξαπατηθούν ώστε να ενσωματώσουν κακόβουλους συνδέσμους. Η δυνατότητα συνοψίσεως του LLM καταναλώνει τόσο το ορατό όσο και το αόρατο κείμενο, παράγοντας μια δηλητηριασμένη σύνοψη που προωθεί τον σύνδεσμο απάτης στους τελικούς χρήστες.

Δείτε επίσης: Meta: Πιθανή χρήση του Gemini για ενίσχυση διαφημιστικής δραστηριότητας

Η έρευνα της FireTail διαπίστωσε ότι τα ChatGPT, Copilot και Claude φαίνεται να καθαρίζουν αποτελεσματικά τους χαρακτήρες tag. Ωστόσο, τα Gemini, Grok και DeepSeek ήταν ευάλωτα, θέτοντας τις επιχειρήσεις που βασίζονται σε αυτές τις υπηρεσίες σε άμεσο κίνδυνο.