Android 螢幕鎖定漏洞大曝光：Gemini 直接繞過密碼發簡訊，使用者隱私何去何從？

智慧型手機的螢幕鎖定密碼，一直是確保使用者隱私與設備安全的重要防線。然而，Google 旗下的 Android 系統近日卻被發現存在一個嚴重的身份驗證繞過漏洞。根據 GSMArena 的最新報導，攻擊者在擁有手機實體接觸權限的情況下，無需輸入 PIN 碼或鎖屏密碼，就能透過 Google 的 Gemini AI 語音助理發送簡訊或 WhatsApp 私密訊息。

漏洞詳情

在正常情況下，如果使用者設定了螢幕鎖定密碼並限制了 Gemini 存取個人敏感資料（如簡訊、通訊錄等），當有陌生人在鎖定畫面喚醒 Gemini 並發出「幫我發簡訊給某人」的語音指令時，Android 系統應該會即時跳出身份驗證視窗，要求輸入密碼或進行指紋解鎖。然而，新曝光的漏洞顯示，只要透過特定的關鍵詞組合或特定的操作路徑，就能直接繞過這道驗證檢查，讓 Gemini 誤以為該指令已獲得授權，從而直接執行發送簡訊的指令。

這個漏洞已在多款執行最新 Android 系統的 Google Pixel 系列手機（包括 Pixel 6a 等）中被成功復現，對許多將手機隨意放置在公共場所的使用者構成了實質性的隱私安全漏洞。

Google 的回應

Google 安全團隊在接獲通報後，已緊急確認了該身份驗證漏洞的存在，並表示目前正在開發對應的系統級安全更新。Google 發言人表示，預計將在下一次的 Android 每月例行安全修補程式中徹底解決此問題。

在此之前，Google 建議對個人隱私有高度安全需求的使用者，可在設定中「完全關閉鎖定畫面下的 Gemini 助理存取權限」作為臨時性的緩解措施。

產業影響與反思

Android 系統的這個漏洞，暴露了現代智慧型手機在引入「系統級 AI 助理」時面臨的全新資安盲點。為了提供使用者極致便利的隨喚隨答體驗，系統往往需要給予 Gemini 或 Siri 極高層級的跨應用軟體（API）存取權限。然而，當 AI 助理的語意解析能力與系統底層的「身份驗證」缺乏足夠的隔離與硬體驗證時，便利性就會瞬間轉化為安全漏洞。