Gemini теперь сам встраивает бэкдоры в код — достаточно сказать «Добавь комментарий»

Специалисты показали, что последние модели Gemini устойчиво принимают скрытые Unicode Tag символы за инструкции — невидимый в интерфейсе текст становится командами для ИИ. Под удар попадают все интеграции на базе Gemini, включая новый агент кодирования Google Jules, недавно вышедший из беты. В контексте темы упоминался и «vscode episode 15», где демонстрировались родственные сценарии с незаметными для пользователя управляющими подсказками.

Ключ к атаке — символы из блока «Tags» в стандарте Unicode, которые не отображаются в UI, но считываются моделью как часть запроса. Описанный сценарий особенно опасен для цепочек «агент — инструменты» с автоматическим выполнением планов. В демонстрации на GitHub Issues использовали простой тикет с видимым требованием «Добавить комментарий “Yolo is awesome” в main». Невидимые строки с командами прятались в том же тексте и, как отмечено авторами, их можно раскрыть внешним декодером вроде ASCII Smuggler. Когда агенту Jules переслали ссылку на этот тикет, система составила план, который по умолчанию был автоматически одобрен, после чего агент добавил бэкдорную функцию в проект, собрал двоичный код и запустил его — вся цепочка прошла без участия человека. Видимые маркеры подмены появлялись в черновике плана: при раскрытии шагов можно было увидеть точные указания на добавление дополнительной функции и запуск кода.

Декодированные скрытые строчки промпта (embracethered)

Отдельная демонстрация 15 августа 2025 года показала, как свежевведённая возможность назначать задачи через тегирование «jules» в GitHub упрощает эксплуатацию. При добавлении такого тега система дословно переносит текст тикета в агентскую воронку — вместе с невидимыми символами. В интерфейсе Jules эти вставки не видны, однако модель воспринимает их как команды и следует им. Авторы подчёркивают, что интерпретация «невидимых» подсказок не гарантирована в 100% случаев, но грамотная инженерия промптов и рост возможностей моделей, начиная с релиза Gemini 2.5, заметно повышают долю успешных срабатываний.

Рекомендуемые меры сводятся к снижению доверия и строгой ревизии: не давать Jules доступ к приватным репозиториям, секретам и инфраструктуре; не поручать агенту тикеты и данные из недоверенных источников; внимательно читать автоматически сформированный план перед запуском шагов; просматривать диффы и смысл изменений в коде перед слиянием.

Поскольку первопричина кроется в трактовке скрытых тегов, полезно знать специфику самих символов и риски незаметных внедрений в текстах задач и документации. Для базового погружения уместны материалы по блоку «Tags» в стандарте Unicode и обзорам атак «prompt injection», где подобные техники рассматриваются системно: Unicode Tags описаны на сайте консорциума Unicode, а общие риски «инъекций подсказок» структурированы в руководствах по безопасности LLM. Документация GitHub по задачам и рабочим процессам также пригодится при аудите цепочек передачи данных между issue-трекером и агентами.

Google была уведомлена от уязвимости 22 февраля 2024 года, а о риске для Jules — 26 мая 2025 года. На данный момент авторы не увидели исправлений на уровне модели и API, что делает угрозу актуальной для всех интеграций Gemini сегодня. Невидимые команды усиливают вероятность скрытой компрометации: подсказка не отображается на экране, но напрямую влияет на действия агента — от внесения бэкдоров до запуска инструментов.