Google Gemini oszukany przez ukryte komendy w mailach — jak to działa?

Rozgrywka z Gmail AI: Problem, o którym mało kto mówi

Ostatnie miesiące upłynęły mi pod znakiem eksperymentów z automatyzacjami w biznesie, ale to, co odkryli specjaliści z Mozilli w sprawie Google Gemini i funkcji podsumowywania e-maili, naprawdę daje do myślenia. Moja reakcja? Chyba można to nazwać zaskoczeniem wymieszanym z lekką irytacją — przecież miało być szybciej, bezpieczniej i sprawniej, a tu tymczasem pojawia się szczelina, przez którą cyberprzestępcy mogą wyjść na swoje, podszywając się pod… sam model SI wykorzystywany przez Gmaila!

Od początku podchodziłem do automatycznych podsumowań z dystansem, pamiętając niejedną sytuację, gdy technologia, choćby nie wiem jak zaawansowana, bywała podatna na różnego rodzaju sztuczki. I tym razem nie jest inaczej — tylko skala ryzyka inna, bo dotyczy powszechnie używanego narzędzia zaufania społecznego.

Ukryte komendy w mailach: Jak działa trik na AI w Gmailu?

Prawdziwa magia, a raczej manipulacja, polega tutaj na przemyceniu niewidocznych instrukcji — „promptów” — w wiadomości e-mail, której ofiara się nie spodziewa. Całość jest o tyle sprytna (albo przerażająco przebiegła), że użytkownik, korzystający z funkcji Podsumuj tę wiadomość w Gmailu, w ogóle nie widzi tej ukrytej zawartości. Zagadnienie brzmi niepozornie, ale kiedy spojrzeć na to z boku, wychodzi, że tak naprawdę rozszerzamy pole do cyberataków nie o centymetry, tylko o całe kilometry.

Pozorna niewinność niewidocznego tekstu

Ustalmy najpierw jedno: bardzo rzadko – jeśli w ogóle – ktokolwiek czyta kod źródłowy HTML wiadomości e-mail, którą dostaje. Wszystko, co niewidoczne, po prostu ucieka naszej uwadze. Przestępcy doskonale o tym wiedzą, więc wykorzystują stylizację CSS, ustawiając czcionkę na biały kolor na białym tle albo podając wielkość wynoszącą zero. Efekt? Dla ciebie to „pusta” część maila, dla Gemini — polecenie, które należy posłusznie wykonać.

Nie bez powodu automatyzacje same w sobie są tak szeroko stosowane w środowisku biznesowym – przyspieszają obieg informacji, pozwalają wyeliminować powtarzalne zadania, ułatwiają zarządzanie komunikacją. Jednak jak każde narzędzie — potrafią być obosieczne. Osobiście przekonałem się już nieraz, że nawet najciekawsze gadżety techniczne mają swoją ciemną stronę.

Technika ataku: pragmatyzm cyberprzestępcy

Aby zmanipulować podsumowanie Gemini, cyberprzestępca wplata do treści e-maila specjalne, niewidoczne dla człowieka polecenia, zwykle zamknięte w tagach typu:

<admin>...tu niewidoczny prompt dla AI...</admin>

Co istotne, taka „wiadomość do AI” nie rzuca się w oczy komuś, kto czyta maila w aplikacji lub przeglądarce. Całość trafia pod powierzchnię, pod warstwę CSS-owego kamuflażu. A potem? Kiedy użytkownik klika Podsumuj tę wiadomość, Gemini cytuje… niewidoczne instrukcje wprost w autorskiej wersji skrótu wiadomości.

Pamiętam, jak kiedyś stworzyłem prosty szablon dla automatycznych alertów w Gmailu ― i wystarczył drobny błąd w stylu CSS, by odbiorca zobaczył rzeczy, których nie miał widzieć. Tutaj ta sama technika zamienia się w broń, bo AI ślepo odczytuje każdy fragment kodu.

Dlaczego to działa? Słaby punkt SI i „prompt injection”

Sztuczna inteligencja działająca wewnątrz Gmaila opiera się na tzw. promptingach, czyli krótkich poleceniach albo wytycznych, które model interpretuje i wykonuje. Kiedy podsumowuje e-maila, bazuje na dostępnych danych… w tym wszystkich, nawet tych nieczytelnych dla człowieka.

Prompt injection polega na wstrzyknięciu dodatkowych wytycznych do takiego modelu językowego, bez wiedzy odbiorcy końcowego. AI, które nie analizuje, czy polecenie jest widoczne dla użytkownika końcowego czy nie, bez wahania tworzy streszczenie zgodne z „niewidzialną” instrukcją. W efekcie, można spowodować, że automatyczne podsumowanie zawiera np.:

Rzekome ostrzeżenie o wycieku hasła.

Pilną sugestię zmiany danych logowania.

Fałszywy numer kontaktowy do „pomocy technicznej”.

Niektórzy powiedzą: „I po co komu ten cały make.com czy n8n, skoro można w trzy minuty zrobić automację ręcznie w Gmailu?”. Otóż, niestety, jak pokazuje to znalezisko z Mozilli, automatyzacje – nawet najprostsze – czasem lepiej przemyśleć pod kątem bezpieczeństwa.

Przebieg ataku krok po kroku

Patrząc z perspektywy przeciętnego odbiorcy – atak wydaje się niewykrywalny. Właściwie, chyba sam miałbym trudność rozpoznać taki mail, gdybym korzystał wyłącznie z podstawowych funkcji Gmaila, bez zaglądania w kod źródłowy.

Scenariusz praktyczny:

• Atakujący tworzy maila, którego większą część stanowią zwykłe, nawet miłe frazy (pozorne zamówienie, prośba o pomoc techniczną, cokolwiek).
• Na końcu lub w środku wiadomości wplata fragment tekstu zamknięty w tagach (np. <admin>), ukryty przez CSS (biały na białym lub font-size:0).
• Odbiorca klika Podsumuj tę wiadomość, chcąc szybciej zgłębić o co chodzi nadawcy.
• Gemini generuje podsumowanie, w którym – posłusznie – przekazuje ukrytą treść jako własną rekomendację lub ostrzeżenie.
• Ktoś, kto ufa systemowi, może potraktować taki komunikat jak autentyczny alert od Google.

Przyznaję, patrząc na to przez pryzmat codziennych przyzwyczajeń, robię się trochę ostrożniejszy. Praktyka pokazuje, że nawet najwytrawniejszy użytkownik bywa nieostrożny po kilku godzinach machania w skrzynce odbiorczej.

Dlaczego filtry antyspamowe nie reagują?

Standardowe filtry antyspamowe bazują głównie na podejrzanych załącznikach, znanych wzorcach tekstowych czy popularnych słowach związanych z phishingiem. Jeśli w mailu brakuje linków, a załączniki nie zawierają szkodliwego kodu, wiadomość przechodzi przez sito bez większych przeszkód.

W ataku na Google Gemini wszystko dzieje się wyłącznie w obrębie treści. Nie ma hiperłączy, nie ma wyraźnych groźnych komunikatów, nie ma „wirusów” jako takich. System ocenia więc wiadomość jako nieszkodliwą — tymczasem groźba kryje się w niewidocznej „instrukcji” dla AI.

Konsekwencje dla indywidualnych użytkowników i firm

Mówiąc pół żartem – internetowy świat byłby prostszy, gdyby każdy użytkownik miał nawyk czytania kodu HTML wiadomości! Niestety, nie oszukujmy się – nie mamy na to ani czasu, ani chęci. W dodatku w środowisku korporacyjnym czy agencyjnym, gdzie liczy się tempo, zaufanie do automatyzacji rośnie z każdym usprawnieniem.

Zagrożenia:

• Ataki phishingowe, które podszywają się pod oficjalne komunikaty Gmaila.
• „Vishing” (wyłudzanie przez telefon), gdy ktoś zadzwoni pod podany w podsumowaniu numer techniczny.
• Wyłudzenia danych dostępowych, jeżeli użytkownik posłucha fałszywych „instrukcji” znajdujących się w podsumowaniu.
• Utratę poufności informacji firmowych, jeśli atakujący uzyska dostęp do skrzynki służbowej.

Osobiście, po rozmowie z kilkoma osobami zajmującymi się bezpieczeństwem cyfrowym, mam wrażenie, że wspomniane „meta-prompt injection” może okazać się dla wielu firm pierwszym poważnym testem z cyfrowej dojrzalości. Nie ma róży bez kolców ― im więcej automatyzujemy, tym bardziej musimy uważnie patrzeć, kto i jak „rozmawia” z naszymi narzędziami.

Wpływ społeczny i reakcje ekspertów

Według oceny specjalistów od cyberbezpieczeństwa, manipulacja podsumowaniami maili za pomocą prompt injection to zagrożenie określane jako „medium impact” — czyli nie jest to dziura na miarę globalnych katastrof, ale wywołuje realny niepokój. Wszystko przez to, że dotyczy nieświadomych użytkowników — i to zarówno indywidualnych, jak i tych pracujących w kluczowych sektorach.

Pamiętam, jak podczas jednego z branżowych spotkań, dyskutowaliśmy o tzw. higienie cyfrowej. Teraz widzę, że szkolenia w tym zakresie są nie tyle wydatkiem, co inwestycją, która chroni przed najbardziej nieoczekiwanymi scenariuszami.

Odpowiedź Google: Gra w kotka i myszkę trwa

Google oficjalnie zapewnia, że modele SI są regularnie testowane pod kątem tego typu ataków, a odporność na „prompt injection” stale się poprawia. Z mojej praktyki wiem, że łatwo coś przyspieszyć czy „podkręcić” w systemie, natomiast zabezpieczenie AI to zawsze pogoń za nowymi trikami przestępców. Przypomina to trochę uruchamianie własnych automatyzacji na make.com i ciągłe szukanie najlepszych reguł filtrujących, zanim rynek i konkurencja je odkryją.

Według dostępnych danych:

• Nie wykryto jeszcze masowej fali ataków tego typu, choć sporadyczne przypadki się już zdarzały.
• Google sukcesywnie wdraża poprawki blokujące interpretację promptów znajdujących się w ukrytych tagach.
• Rekomendowane jest, by nie ufać podsumowaniom, które dotyczą bezpieczeństwa konta — te lepiej zweryfikować „u źródła”.
• Prace nad rozwojem funkcji red-teaming są prowadzone bez przerwy — to trochę jak testowanie własnego ogrodzenia przez podstawionych włamywaczy.

Trzeba przyznać, że w porównaniu z innymi gigantami technologicznymi, Google szybko podnosi rękawicę w takich sytuacjach, choć jak dobrze znam życie — dopiero użytkownicy masowo zgłaszający luki naprawdę przyspieszają tempo działania zespołów bezpieczeństwa.

Jak się chronić? Higiena cyfrowa w praktyce

Pytanie jak się przed tym zabezpieczyć nie jest już tylko rozważaniem teoretycznym. Ja sam w kontaktach z klientami i prowadząc szkolenia, zawsze uczulam na kilka, banalnych z pozoru, prostych zasad:

• Nie ufaj ślepo automatycznym podsumowaniom, zwłaszcza jeśli sugerują zmianę haseł, szybki kontakt z nieznanym numerem czy dziwne kroki „bezpieczeństwa konta”.
• Zawsze weryfikuj komunikaty bezpieczeństwa przez oficjalne kanały kontaktu — najlepiej wejść na stronę Google ręcznie, a nie klikać czy dzwonić pod wskazane w podsumowaniu numery.
• W środowiskach firmowych — warto włączyć filtry, które oznaczają lub blokują maile zawierające białą czcionkę, font-size:0 czy fragmenty kodu <admin>.
• Niech „higiena cyfrowa” nie będzie pustym słowem: szkolenia, warsztaty i systematyczne przypominanie, na co zwracać uwagę, realnie się opłaca.

Kiedyś sam byłem sceptyczny wobec szkoleń, ale po kilku incydentach phishingowych w firmach klientów wiem już, że to jedna z lepszych inwestycji. Lepiej zapobiegać, niż potem tłumaczyć się z utraconych danych.

Checklista bezpieczeństwa dla Twojego zespołu

• Regularnie przeglądaj reguły poczty i ustawienia filtrów — samemu albo z pomocą działu IT.
• Ustal zasady reagowania na podejrzane podsumowania — niech każdy pracownik czuje, że może zgłosić problem.
• Testuj systemy makietami ataków — lepiej nauczyć się na błędach w kontrolowanych warunkach.
• Ustal hierarchię bezpieczeństwa: kto przyjmuje zgłoszenia, kto potwierdza alerty.
• Naucz się rozpoznawać niuanse w komunikatach — AI bywa jak papuga, czasem powtórzy to, co rzeczywiście znalazło się w ukryciu.

Jak patrzę na ten trend jako praktyk automatyzacji?

Od lat wdrażam automatyzacje w biznesie – począwszy od prostych skryptów, po złożone systemy budowane z wykorzystaniem narzędzi takich jak make.com czy n8n. Widzę więc, jak bardzo SI zmienia krajobraz naszej pracy. Jednak każde nowe usprawnienie oznacza też nowe ryzyko, które trzeba uwzględnić nie tylko w projekcie, ale i w codziennych nawykach.

Z własnych doświadczeń wiem, że:

Bazowanie wyłącznie na AI podsumowaniach to proszenie się o drobne (albo większe) wpadki.

Rutynowe korzystanie z auto-podsumowań przyspiesza naszą pracę, ale bez zdrowej dawki sceptycyzmu bardzo łatwo wpaść w pułapkę.

Każdy rodzaj automatyzacji – nawet tej korzystającej z narzędzi niskokodowych – należy testować nie tylko pod kątem wydajności, ale przede wszystkim bezpieczeństwa danych.

Nie ma róży bez kolców: to co przyspiesza biznes, może równie dobrze ułatwić pracę atakującym.

Rekomendacje — szkolenia, automatyzacje filtrów, czujność zespołu

Implementując różne automatyzacje w make.com czy n8n, gorąco polecam wdrożenie logicznych scenariuszy filtrujących podejrzane zmiany w mailach. Przykład z Google Gemini nie jest wyjątkiem — takich „furtki” będzie przybywać, bo każda innowacja oznacza zarazem nowy wektor ataku.

Co warto wdrożyć?

• Filtrowanie (albo chociaż oznaczanie do sprawdzenia) wiadomości zawierających białą czcionkę, niewidoczne treści lub nietypowe tagi.
• Ustawienie automatycznych powiadomień dla administratorów w przypadku nieznanych kombinacji poleceń lub stylów w wiadomościach.
• Regulaminy „zdrowego rozsądku” ― pracownicy powinni wiedzieć, czego mają nie robić, nawet jeżeli coś wyświetli się w komunikacie AI.
• Regularne audyty narzędzi SI, które pojawiają się w workflow, zwłaszcza tych opartych na podsumowaniach czy analizie treści.

Takie praktyki pomogą nie tylko zwiększyć bezpieczeństwo, ale – co często ważniejsze – uniknąć śmieszności przed klientami czy partnerami biznesowymi. Z własnego podwórka wiem, że lepsza chwila wstydu na szkoleniu, niż potem wiadomość „Wasz system wyłudził nasze dane”.

Automatyzacje, AI i przyszłość bezpieczeństwa: refleksje praktyka

Z biegiem lat przekonałem się, ile frajdy i satysfakcji daje automatyzacja powtarzalnych zadań czy skrótów w codziennej komunikacji. Jednak postęp, nawet najbardziej spektakularny, nigdy nie idzie w parze z beztroską.

Moje przemyślenia:

• Budując makiety workflow dla klientów, zawsze testuj je nie tylko „pozytywnie”, ale też pod kątem najbardziej nieoczekiwanych przypadków użycia.
• Nie wierz w „darmowe bezpieczeństwo” – każda nowość wymaga sprawdzenia, a najprostsze luki powstają na styku AI i ludzkiej naiwności.
• Wdrażaj zasadę ograniczonego zaufania wobec każdego źródła rekomendacji (czy to mail czy SI) — jak mawiają: kto pod kim dołki kopie, sam w nie wpada.
• Nie każda automatyzacja nadaje się do każdego procesu – lepiej dwukrotnie przemyśleć, niż potem naprawiać szkody.

Chyba nie przesadzę, jeśli powiem, że Google Gemini i podobne narzędzia powinny być traktowane jak ekspres do kawy – uwielbiam go używać, ale czasem lepiej przyjrzeć się, co tam się w środku dzieje!

Podsumowanie i wnioski dla zespołów firmowych

Poruszone przeze mnie zagrożenie ze strony ukrytych poleceń dla AI, to nie tylko problem giganta z Doliny Krzemowej. To wyraźny sygnał dla wszystkich, którzy korzystają z automatyzacji na co dzień, że ślepa wiara w automatyczne rozwiązania potrafi się srogo zemścić. Po polsku: lepiej czasem zasępić się minutę nad wiadomością, niż potem miesiącami łatać konsekwencje kryzysu wizerunkowego czy finansowego.

Co radzę jako praktyk?

• Nie ufaj ślepo automatom – sam już kilka razy na tym się przejechałem.
• Dołącz do praktykantów bezpieczeństwa – chociaż raz na kwartał zróbcie szybkie szkolenie w firmie (nawet w żartobliwej formie!).
• Testuj swoje własne automatyzacje pod kątem nieoczekiwanych efektów – czasem sama AI jest swoim najgorszym wrogiem.
• Bądź czujny na nietypowe podsumowania w mailach – szczególnie, gdy dotyczą twoich danych dostępowych, pieniędzy lub „pilnych poprawek” konta.

W mojej codziennej pracy wykorzystuję AI i automatyzacje, ale, jak przystało na wytrawnego sceptyka, nieufność traktuję jako cnotę, nie zaś słabość. Sztuczna inteligencja pomaga, ale tylko gdy pozostaje naszym narzędziem, a nie sterem i okrętem.

Źródła i dalsza lektura

Choć moje obserwacje bazują głównie na codziennym kontakcie z klientami oraz doświadczeniu przy wdrażaniu automatyzacji (szczególnie w make.com i n8n), zachęcam do zapoznania się z oficjalnymi raportami organizacji bezpieczeństwa cyfrowego. Przykłady ukrytych poleceń oraz ich szczegółowa analiza dostępne są w źródłach branżowych i raportach dostępnych online.

Grafika: [https://www.instalki.pl/wp-content/uploads/2025/07/jak-oszukac-google-gemini-phishing-gmail-2.jpg]

—

Nie daj się zwieść złudnej wygodzie – technologie SI w marketingu i sprzedaży to wspaniałe narzędzia, o ile pozwolimy sobie na odrobinę codziennej czujności. Cóż, jak to mówią, „strzeżonego Pan Bóg strzeże” – a przenosząc to na cyfrowy grunt: bez czujnego oka nawet najlepszy model SI potrafi nieźle narozrabiać!

Źródło: https://www.instalki.pl/news/bezpieczenstwo/jak-oszukac-google-gemini-phishing-gmail/