Basta con un 2% de transparencia para hackear tu teléfono: un texto invisible en la pantalla de Android hace que el asistente de IA obedezca al hacker y no a ti

Los asistentes móviles con inteligencia artificial, capaces de controlar un teléfono inteligente de forma autónoma, pueden convertirse en una nueva herramienta para ataques. Los especialistas demostraron que a los atacantes les basta instalar en el dispositivo una aplicación maliciosa ordinaria para sustituir de forma imperceptible las acciones de dicho asistente, robar datos y, en casos aislados, incluso ejecutar comandos en el ordenador que controla el teléfono.

Los autores del estudio examinaron cinco proyectos abiertos populares, entre ellos AppAgent, Mobile-Agent v3, Open-AutoGLM, AppAgentX y MobA. Todas las plataformas usan un esquema de funcionamiento parecido. El asistente recibe una captura de pantalla del teléfono, analiza la imagen con un gran modelo de lenguaje, toma una decisión y envía un comando de vuelta al dispositivo. Según los especialistas, es precisamente esa arquitectura la que crea nuevos puntos para ataques que antes no existían en las aplicaciones móviles comunes.

Los especialistas distinguieron dos clases principales de vulnerabilidades. La primera está relacionada con la forma en que el asistente "ve" la pantalla. A diferencia de una persona, el modelo analiza cada píxel de la imagen y es capaz de reconocer texto casi invisible. Los autores demostraron que un atacante puede añadir sobre la pantalla instrucciones con una opacidad de solo el 2%–5%. El usuario no notará ningún cambio; sin embargo, el asistente percibirá el texto oculto como un elemento normal de la interfaz y ejecutará la orden recibida. De manera similar, se pueden colocar instrucciones en las esquinas redondeadas del display o debajo de los recortes de la pantalla, donde la persona no las ve físicamente, pero la captura de pantalla las registra por completo.

El segundo tipo de ataques emplea los canales de intercambio de datos entre el asistente y el teléfono. Los autores encontraron que algunas plataformas guardan las capturas de pantalla en archivos temporales. El programa malicioso tiene tiempo de modificar la imagen antes de que el asistente lea el archivo. Como resultado, el modelo analiza ya una captura falsificada. Además, los especialistas hallaron maneras de interceptar las contraseñas introducidas por el asistente, los códigos de verificación y otra información confidencial mediante mecanismos estándar de Android. En algunos escenarios no se requieren permisos en absoluto para realizar el ataque.

El escenario combinado resultó ser el más peligroso. Los autores demostraron que una cadena de varias vulnerabilidades permite salir más allá del teléfono. Primero se hace que el asistente vea una instrucción oculta, luego se sustituye la captura de pantalla, y después el asistente envía al ordenador conectado un comando especialmente formado. Si el programa procesa incorrectamente esa entrada, el atacante obtiene la posibilidad de ejecutar un comando arbitrario en el ordenador del usuario. Para la demostración los especialistas ejecutaron la aplicación estándar "Calculadora", aunque señalan que de la misma manera se pueden realizar acciones más peligrosas.

Durante la comprobación, los cinco proyectos estudiados resultaron ser vulnerables al menos a seis de las siete ataques propuestos. Los autores del trabajo consideran que el problema no es casual y está relacionado con la propia arquitectura de dichos asistentes, que confían sin reservas en el contenido de las capturas de pantalla y en los canales de transmisión de datos. Para protegerse, los especialistas proponen no guardar las capturas de pantalla en archivos temporales, usar canales protegidos para el intercambio de datos, no ejecutar comandos de forma insegura y comprobar la autenticidad de la interfaz mostrada antes de realizar operaciones sensibles.