🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um aplicativo Android que pode se sobrepor a outras janelas e gravar no armazenamento compartilhado pode transmitir instruções ao agente de IA que dirige o telefone, em texto que nenhum olho humano jamais verá. Mais duas etapas e o mesmo aplicativo estará executando comandos no PC que conduz o agente.
Os pesquisadores demonstraram essa cadeia, além de seis outros ataques, contra cinco estruturas de agentes móveis de código aberto: AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA. Todos caíram para pelo menos seis dos sete.
O artigo foi publicado no arXiv em 1º de julho e revisado em 14 de julho. Os autores estão na Universidade Simon Fraser, na Universidade Chinesa de Hong Kong, na Universidade de Shandong e no Laboratório Xingtu da empresa de segurança chinesa QAX.
Nada aqui tem CVE, e o primeiro autor, Zidong Zhang, disse ao The Hacker News que a equipe não tem evidências de que as técnicas sejam usadas fora de um ambiente controlado. O Hacker News verificou todas as cinco estruturas e encontrou os caminhos da captura de tela, a chamada do shell e o substituto de transmissão que o jornal descreve ainda em suas filiais principais em 17 de julho.
Zhang disse que a equipe enviou um e-mail privadamente aos mantenedores afetados antes de publicar a pré-impressão e “não recebeu uma resposta até o momento”.
A escalada é a parte menos exótica. O controlador do AppAgent executa subprocess.run(adb_command, shell=True) e cria a entrada de texto descartando a saída do modelo diretamente no texto de entrada do shell adb {input_str}. A listagem do jornal mostra que a função não possui nenhuma higienização.
O código ativo se sai um pouco melhor e nem de longe o suficiente: ele remove espaços e aspas simples antes de interpolar e deixa o restante dos metacaracteres do shell em paz. Não;, não &, não >. Portanto, uma string que o modelo lê em uma tela e digita obedientemente é dividida pelo shell do host, e a metade posterior é executada na caixa do Windows do operador.
Uma carga projetada para iniciar calc.exe fez exatamente isso em 20 dos 20 testes contra AppAgent, AppAgentX, Mobile-Agent-v3 e MobA. Uma execução separada de ponta a ponta no AppAgent usou test;pwd>rce_success e gravou o diretório de trabalho do host em um arquivo.
Colocar essa string na frente do modelo é uma corrida de arquivos. Open-AutoGLM executa screencap -p /sdcard/tmp.png e depois um pull adb separado. Mobile-Agent-v3 grava em um /sdcard/screenshot.png fixo e dorme meio segundo entre os dois. O AppAgentX grava em /sdcard/ sob nomes de arquivos com carimbo de data e hora carregando um contador de passos incremental, um padrão que um invasor pode observar. O config.yaml enviado do AppAgent ainda padroniza seu diretório de captura de tela para /sdcard.
Os pesquisadores cronometraram essa lacuna entre as estruturas em 50 a 500 ms, com média de cerca de 210 ms em 100 execuções. Uma pesquisa de serviço em segundo plano a cada 5 a 10 ms tem espaço para bloquear um arquivo, repintar o PNG e soltá-lo antes que o agente o colete. A adulteração acertou 19/20 a 20/20 contra quatro dos cinco.
Para ampliar ainda mais a janela, eles mostraram ao agente uma sobreposição invisível alegando que uma sincronização de rede estava em execução e pedindo que esperasse três segundos. A modelo acreditou.
Todos os seis modelos de visão que os pesquisadores testaram leram texto com opacidade de 2% em pelo menos 18 dos 20 testes de laboratório. O artigo coloca esse nível abaixo da detecção humana típica sob visualização normal. GPT-4o, Claude Opus 4.5, Gemini 3 Pro e GLM-4V pontuaram 20 em 20. Os números não sobem à medida que o texto fica mais visível, pois começam no teto.
O AutoGLM-Phone, um modelo 9B rodando no próprio dispositivo, foi o mais fraco dos seis, com 18 de 20. A visão humana aplica um limite. A captura de tela não.
A assimetria também tem uma versão de hardware. Os telefones dobram os cantos e fazem furos para as câmeras, mas o buffer de quadro permanece retangular, de modo que os pixels renderizados nessas regiões ficam sob a moldura e aparecem em todas as capturas de tela. Em um Pixel 4, isso deixa cerca de 78 pixels de largura oculta em um canto, o suficiente para um comando curto, e todos os cinco agentes leem suas cargas.
Um terceiro truque ignora totalmente a furtividade: um serviço de acessibilidade coloca uma atividade de login falsa no aplicativo real e permite que o agente digite as credenciais do usuário nele. Uma pessoa pode hesitar diante de uma solicitação de senha inesperada. Nenhum dos cinco o fez, em 100 testes.
Ninguém autenticou o teclado
Os agentes não têm canal sancionado para um telefone, então eles reaproveitam os de depuração, e o ataque mais barato do conjunto fica fora disso. Open-AutoGLM codifica em base64 o texto que digita e o dispara em ADB_INPUT_B64, uma transmissão implícita captada pelo ADB Keyboard, uma ferramenta de automação de teste construída para aceitar texto de qualquer coisa que o transmita.
Esse é o seu propósito documentado, e ainda é mantido, com um pré-lançamento de abril trazendo uma correção do Android 16. O teclado ADB faz o que seu README promete. Foram os agentes que transformaram um equipamento de teste em encanamento de entrada de produção.
O Mobile-Agent-v3 mantém uma lista restrita de permissões: letras, dígitos e pontuação comum passam pelo texto de entrada do shell adb e sempre
Os pesquisadores demonstraram essa cadeia, além de seis outros ataques, contra cinco estruturas de agentes móveis de código aberto: AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA. Todos caíram para pelo menos seis dos sete.
O artigo foi publicado no arXiv em 1º de julho e revisado em 14 de julho. Os autores estão na Universidade Simon Fraser, na Universidade Chinesa de Hong Kong, na Universidade de Shandong e no Laboratório Xingtu da empresa de segurança chinesa QAX.
Nada aqui tem CVE, e o primeiro autor, Zidong Zhang, disse ao The Hacker News que a equipe não tem evidências de que as técnicas sejam usadas fora de um ambiente controlado. O Hacker News verificou todas as cinco estruturas e encontrou os caminhos da captura de tela, a chamada do shell e o substituto de transmissão que o jornal descreve ainda em suas filiais principais em 17 de julho.
Zhang disse que a equipe enviou um e-mail privadamente aos mantenedores afetados antes de publicar a pré-impressão e “não recebeu uma resposta até o momento”.
A escalada é a parte menos exótica. O controlador do AppAgent executa subprocess.run(adb_command, shell=True) e cria a entrada de texto descartando a saída do modelo diretamente no texto de entrada do shell adb {input_str}. A listagem do jornal mostra que a função não possui nenhuma higienização.
O código ativo se sai um pouco melhor e nem de longe o suficiente: ele remove espaços e aspas simples antes de interpolar e deixa o restante dos metacaracteres do shell em paz. Não;, não &, não >. Portanto, uma string que o modelo lê em uma tela e digita obedientemente é dividida pelo shell do host, e a metade posterior é executada na caixa do Windows do operador.
Uma carga projetada para iniciar calc.exe fez exatamente isso em 20 dos 20 testes contra AppAgent, AppAgentX, Mobile-Agent-v3 e MobA. Uma execução separada de ponta a ponta no AppAgent usou test;pwd>rce_success e gravou o diretório de trabalho do host em um arquivo.
Colocar essa string na frente do modelo é uma corrida de arquivos. Open-AutoGLM executa screencap -p /sdcard/tmp.png e depois um pull adb separado. Mobile-Agent-v3 grava em um /sdcard/screenshot.png fixo e dorme meio segundo entre os dois. O AppAgentX grava em /sdcard/ sob nomes de arquivos com carimbo de data e hora carregando um contador de passos incremental, um padrão que um invasor pode observar. O config.yaml enviado do AppAgent ainda padroniza seu diretório de captura de tela para /sdcard.
Os pesquisadores cronometraram essa lacuna entre as estruturas em 50 a 500 ms, com média de cerca de 210 ms em 100 execuções. Uma pesquisa de serviço em segundo plano a cada 5 a 10 ms tem espaço para bloquear um arquivo, repintar o PNG e soltá-lo antes que o agente o colete. A adulteração acertou 19/20 a 20/20 contra quatro dos cinco.
Para ampliar ainda mais a janela, eles mostraram ao agente uma sobreposição invisível alegando que uma sincronização de rede estava em execução e pedindo que esperasse três segundos. A modelo acreditou.
Todos os seis modelos de visão que os pesquisadores testaram leram texto com opacidade de 2% em pelo menos 18 dos 20 testes de laboratório. O artigo coloca esse nível abaixo da detecção humana típica sob visualização normal. GPT-4o, Claude Opus 4.5, Gemini 3 Pro e GLM-4V pontuaram 20 em 20. Os números não sobem à medida que o texto fica mais visível, pois começam no teto.
O AutoGLM-Phone, um modelo 9B rodando no próprio dispositivo, foi o mais fraco dos seis, com 18 de 20. A visão humana aplica um limite. A captura de tela não.
A assimetria também tem uma versão de hardware. Os telefones dobram os cantos e fazem furos para as câmeras, mas o buffer de quadro permanece retangular, de modo que os pixels renderizados nessas regiões ficam sob a moldura e aparecem em todas as capturas de tela. Em um Pixel 4, isso deixa cerca de 78 pixels de largura oculta em um canto, o suficiente para um comando curto, e todos os cinco agentes leem suas cargas.
Um terceiro truque ignora totalmente a furtividade: um serviço de acessibilidade coloca uma atividade de login falsa no aplicativo real e permite que o agente digite as credenciais do usuário nele. Uma pessoa pode hesitar diante de uma solicitação de senha inesperada. Nenhum dos cinco o fez, em 100 testes.
Ninguém autenticou o teclado
Os agentes não têm canal sancionado para um telefone, então eles reaproveitam os de depuração, e o ataque mais barato do conjunto fica fora disso. Open-AutoGLM codifica em base64 o texto que digita e o dispara em ADB_INPUT_B64, uma transmissão implícita captada pelo ADB Keyboard, uma ferramenta de automação de teste construída para aceitar texto de qualquer coisa que o transmita.
Esse é o seu propósito documentado, e ainda é mantido, com um pré-lançamento de abril trazendo uma correção do Android 16. O teclado ADB faz o que seu README promete. Foram os agentes que transformaram um equipamento de teste em encanamento de entrada de produção.
O Mobile-Agent-v3 mantém uma lista restrita de permissões: letras, dígitos e pontuação comum passam pelo texto de entrada do shell adb e sempre
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #agentes #de #ia #android #de #código #aberto #podem #permitir #que #texto #de #tela #invisível #execute #código #em #pcs #host
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário