Lỗ hổng bảo mật trên Android: Gemini cho phép gửi tin nhắn từ màn hình khóa mà không cần PIN

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Lỗ hổng cho phép kẻ tấn công gửi tin nhắn SMS/WhatsApp thông qua Gemini ngay cả khi thiết bị đang khóa.
• Kỹ thuật khai thác dựa trên thao tác đa chạm (multi-touch) để vượt qua màn hình xác thực PIN.
• Google đã xác nhận lỗi và dự kiến triển khai bản vá trong tuần này trên quy mô toàn cầu.

Trong thế giới bảo mật di động, kịch bản ác mộng nhất đối với người dùng không phải là mã độc phức tạp, mà là việc thiết bị của mình bị kẻ gian chiếm quyền điều khiển ngay từ màn hình khóa. Một lỗ hổng mới phát hiện trên Android đang trở thành tâm điểm chú ý khi cho phép bất kỳ ai có quyền truy cập vật lý vào thiết bị có thể sử dụng Gemini để gửi tin nhắn mà không cần vượt qua lớp bảo mật PIN. Đây là một lời nhắc nhở đắt giá về việc quản lý quyền truy cập của AI trên các thiết bị cá nhân, tương tự như những rủi ro khi xây dựng Crypto Trading Bot năm 2026: Hướng dẫn toàn diện cho lập trình viên nếu không được bảo mật chặt chẽ.

Cơ chế khai thác lỗ hổng

Lỗ hổng này không phải là một lỗi logic thông thường mà là sự kết hợp giữa giao diện người dùng (UI) và luồng xác thực của hệ thống. Khi người dùng thu hồi quyền truy cập của Gemini vào các ứng dụng như Messages, chatbot này sẽ yêu cầu xác thực PIN nếu người dùng cố gắng gửi tin nhắn từ màn hình khóa.

Tuy nhiên, các nhà nghiên cứu đã phát hiện ra rằng bằng cách nhấn nút Continue (Tiếp tục) đồng thời với nút Add attachment (Thêm tệp đính kèm) trong giao diện Gemini, hệ thống sẽ bị đánh lừa và cho phép thực hiện hành động gửi tin nhắn mà bỏ qua bước kiểm tra PIN. Điều này cho thấy tầm quan trọng của việc kiểm soát các luồng UI, một vấn đề mà nhiều lập trình viên thường bỏ sót trong bộ kiểm thử E2E, xem thêm tại Tại sao các luồng UI quan trọng vẫn bị bỏ sót trong bộ kiểm thử E2E của bạn?.

Bảng so sánh các trạng thái bảo mật

Mở rộng quyền truy cập ứng dụng

Sau khi vượt qua được bước xác thực ban đầu, kẻ tấn công có thể tiếp tục kích hoạt quyền truy cập của Gemini vào các ứng dụng khác như WhatsApp bằng cách nhập lệnh @WhatsApp trong cửa sổ chat. Điều này tạo ra một lỗ hổng leo thang đặc quyền đáng báo động. Nếu bạn đang lo ngại về bảo mật thiết bị, hãy cân nhắc các giải pháp bảo vệ chuyên sâu, ví dụ như Google Pixel Care Plus: Có nên chi 5 USD mỗi tháng để bảo vệ thiết bị cũ?.

Lưu ý: Việc khai thác lỗ hổng này yêu cầu kẻ tấn công phải có quyền truy cập vật lý vào thiết bị. Tuy nhiên, trong bối cảnh tội phạm trộm cắp điện thoại gia tăng, đây là một rủi ro không thể xem nhẹ.

Đánh giá & Lời khuyên Thực tiễn

Từ góc độ kỹ thuật, lỗ hổng này là một ví dụ điển hình về lỗi Race Condition trong xử lý sự kiện UI.

• Ưu điểm: Google đã phản ứng nhanh chóng và xác nhận bản vá sẽ được triển khai ngay trong tuần này.
• Nhược điểm: Lỗ hổng này ảnh hưởng đến nhiều dòng máy Android, không chỉ riêng một nhà sản xuất cụ thể.
• Phạm vi ứng dụng: Các ứng dụng AI tích hợp sâu vào hệ điều hành cần phải có cơ chế xác thực tách biệt hoàn toàn với luồng xử lý UI chính.

Đối với lập trình viên, khi phát triển các ứng dụng có tích hợp AI, hãy luôn đảm bảo rằng mọi yêu cầu truy cập tài nguyên nhạy cảm (như danh bạ, tin nhắn) đều phải đi qua một lớp middleware kiểm tra quyền hạn (authorization layer) thay vì dựa vào trạng thái của UI. Bạn có thể tham khảo cách tối ưu hóa bảo mật trong các hệ thống tương tự tại 9 Anti-pattern bảo mật mà linter của bạn thường bỏ sót: Góc nhìn từ chuyên gia.

Câu hỏi thường gặp (FAQ)

Lỗ hổng này có ảnh hưởng đến tất cả điện thoại Android không?

Google xác nhận lỗi không chỉ giới hạn ở dòng Pixel mà còn ảnh hưởng đến nhiều thiết bị khác, dù một số người dùng Samsung báo cáo không thể tái hiện lỗi.

Tôi nên làm gì để bảo vệ thiết bị ngay lúc này?

Trong khi chờ bản vá chính thức, hãy kiểm tra cài đặt quyền truy cập của Gemini và hạn chế cho phép chatbot này truy cập vào các ứng dụng nhạy cảm như Messages hoặc WhatsApp từ màn hình khóa.

Bản vá sẽ được cập nhật như thế nào?

Google sẽ triển khai bản vá thông qua cập nhật hệ thống hoặc cập nhật ứng dụng Google/Gemini trực tiếp từ Play Store mà không cần người dùng can thiệp thủ công.

Kết luận

Lỗ hổng Gemini trên màn hình khóa là một lời cảnh báo về sự cân bằng giữa tính tiện dụng của AI và tính bảo mật của hệ điều hành. Là những người làm công nghệ, chúng ta cần luôn đặt câu hỏi về tính an toàn của các tính năng mới trước khi tích hợp chúng vào sản phẩm. Hãy theo dõi hi_dev để cập nhật những tin tức bảo mật mới nhất và nâng cao kỹ năng lập trình của bạn. Nếu bạn có bất kỳ thắc mắc nào về bảo mật ứng dụng, hãy để lại bình luận phía dưới để cùng thảo luận nhé.