Il a suffi d’un rendez-vous apparemment banal dans Google Agenda pour transformer une maison connectée en théâtre d’ombres : volets qui s’ouvrent, lumières qui s’éteignent, chaudière qui s’active, le tout sans que personne ne le demande, ni même ne s’en aperçoive tout de suite.
Ce scénario n’est ni de la science-fiction, ni un canular : c’est une expérimentation réelle, dévoilée à Black Hat 2025 par trois chercheurs en cybersécurité, qui ont démontré comment une simple « injection de prompt » cachée dans une invitation calendrier pouvait manipuler Gemini et, par ricochet, des objets connectés dans le monde réel.
Le cœur de l’attaque: une invitation « piégée »
Le principe est d’une simplicité déconcertante: l’attaquant envoie une invitation Google Agenda contenant des instructions invisibles à l’œil non averti (par exemple dans le titre ou la description), que Gemini va lire lorsqu’on lui demande de « résumer les événements de la semaine ».
En traitant ce résumé, l’IA interprète l’instruction cachée comme un ordre légitime, puis l’exécute via les agents et intégrations Google (comme Google Home), déclenchant des actions physiques: ouvrir des fenêtres motorisées, allumer un chauffe-eau, éteindre les lumières, voire lancer une visioconférence.
Dans certains scénarios, un simple « merci » en réponse au résumé suffisait à déclencher la chaîne d’exécution préprogrammée.
Les chercheurs ont catalogué 14 scénarios d’attaque basés sur cette méthode, allant du spam et de la génération de contenu toxique au vol de données (e-mails, détails de réunions), à l’ouverture automatique de Zoom, jusqu’à la manipulation d’équipements domotiques. Ils présentent cette démonstration comme l’un des premiers cas documentés où le piratage d’une IA générative entraîne des conséquences tangibles dans le monde physique.
Ce qui rend Gemini vulnérable dans ce contexte
L’attaque exploite une faiblesse structurelle des assistants IA modernes : leur capacité à agréger et interpréter du contenu issu d’apps connectées (Agenda, Gmail, Drive, Home), en leur faisant confiance par défaut. En injectant des consignes malicieuses dans le « contexte » que l’IA va synthétiser (un événement d’agenda, un objet d’e-mail, un nom de document), on détourne sa logique d’assistance pour l’amener à créer ou à invoquer des agents et des outils avec des permissions réelles sur l’écosystème de l’utilisateur.
Les chercheurs décrivent plusieurs classes de menaces, notamment :
• attaque par injection à court terme (déclenchement immédiat et ponctuel via un contexte éphémère).
• injection malveillante de la mémoire à long terme (instructions persistantes dans les « infos enregistrées » de l’assistant).
• Détournement d’outils (par exemple supprimer des événements, ou exfiltrer du contenu via le navigateur).
• Invocation automatique d’agents (exploiter Agenda pour activer Google Home et agir sur le physique).
• Invocation d’apps sur smartphone (ouvrir des URLs, lancer un Zoom, etc.).
Quand l’IA franchit la porte du réel
Ce qui m’a frappé en lisant et en visionnant ces démonstrations, c’est la banalité du geste déclencheur : « Peux-tu me résumer ma semaine ? ». On pose la question à un assistant qui, d’ordinaire, nous fait gagner du temps. Le piège est d’autant plus insidieux qu’il se fond dans les usages quotidiens : une invitation pro, un intitulé anodin, une politesse automatique.
Et soudain, la frontière entre le numérique et le physique se brouille : les stores se lèvent, la chaudière chauffe, comme si la maison elle-même répondait à un interlocuteur invisible. Cette scène, digne d’un film dystopique, m’a rappelé que le confort connecté est aussi une délégation de pouvoir : celui d’agir sur notre environnement, à travers des chaînes logicielles que l’on ne voit pas toujours.
Pourquoi cette attaque est un signal d’alarme pour tout l’écosystème
• Les IA deviennent des « agents » interconnectés, capables d’orchestrer des actions entre services et objets; toute faille d’alignement ou d’interprétation peut produire des effets concrets.
• Les canaux « de confiance » (Agenda, e-mail, documents) deviennent des vecteurs d’injection indirecte, difficiles à filtrer sans bloquer l’utilité même de l’assistant.
• Le risque s’étend de la confidentialité (exfiltration d’e-mails, géolocalisation) à la sécurité physique (ouverture de fenêtres, activation d’appareils), avec un potentiel d’abus par des acteurs malveillants mieux dotés.
Comme l’ont noté les chercheurs, plus ces modèles sont intégrés à des systèmes critiques (véhicules, robotique, domotique), plus les enjeux dépassent la simple gêne pour toucher la sécurité et la sûreté.
Conseils pratiques pour réduire l’exposition dès maintenant
• Activer les confirmations pour actions sensibles dans l’écosystème Google et vérifier régulièrement les autorisations des agents et apps connectés.
• Limiter les intégrations inutiles entre Gemini et les appareils domotiques; n’accorder que le minimum de permissions nécessaires.
• Examiner les invitations inattendues (titre, description) et refuser celles douteuses; utiliser des filtres/spam et la modération des invitations.
• Éviter de demander des « résumés globaux » d’agendas ou d’e-mails professionnels non vérifiés si l’assistant peut déclencher des actions; préférer des requêtes ciblées.
• Mettre à jour systématiquement les apps Google et appareils connectés pour bénéficier des mitigations récentes.
Ce qu’il faut retenir
• Oui, une simple invitation Google Agenda a suffi à détourner Gemini et à manipuler des objets connectés dans une expérimentation contrôlée, via une injection de prompt indirecte.
• L’équipe a démontré 14 scénarios d’attaque, dont certains à conséquences physiques, présentés à Black Hat 2025
• Cette affaire illustre un défi structurel: sécuriser des assistants IA qui lisent et agissent sur des données « de confiance » issues d’apps du quotidien, tout en restant utiles.
En tant qu’observateur de ces technologies, je reste admirative de ce que l’IA rend possible et lucide sur ce qu’elle met en jeu. Le futur de nos foyers intelligents dépendra autant de l’ingéniosité des chercheurs que de notre capacité à instaurer des garde-fous robustes ; pas pour freiner l’innovation, mais pour la rendre digne de la confiance qu’on lui confie, parfois d’un simple merci.