为延迟的自动工具调用植入指令 (AML.CS0038)
一句话通俗理解
这轮对话埋的雷，下一轮才炸——绕过 Gemini「同轮限制」的延迟触发注入。
案例速览
| 维度 | 内容 |
|---|---|
| 案例类型 | 演练 / 安全研究 |
| 发生时间 | 2024-02-01 |
| 攻击者 | Embrace the Red |
| 受害目标 | Google Gemini |
事件经过
Embrace The Red 演示了 Google Gemini 的延迟自动工具调用：把注入指令埋入当前轮对话，延迟到下一轮对话再自动触发工具调用——利用时序差绕过「仅当前轮内容可触发工具」的安全限制，实现无用户交互的恶意动作。
运用的 ATLAS 技术
以下攻击链映射来自 MITRE ATLAS 官方数据（AML.CS0038 的
employs关系），按官方步骤编号排序；技术名称链接至本库对应技术文档，引用文字为官方对本次运用的描述。
S00
- LLM 提示词构造 (AML.T0065)
The researcher wrote a prompt designed to retrieve text from a private Google Doc using Google Gemini’s Workspace Extension.
S01
- 通过公开应用进行提示词渗透 (AML.T0093)
The researcher included the malicious prompt as part of the body of a long email sent to the victim.
S02
- 间接提示词注入 (AML.T0051.001)
When the user asked Google Gemini to summarize or interact with the email in some way, the malicious prompt was executed.
S03
- 延迟执行 LLM 指令 (AML.T0094)
The malicious prompt instructed Gemini to delay the execution of the Workspace Extension until the next interaction. This was done to circumvent controls that restrict automated tool invocation.
S04
- AI 智能体工具调用 (AML.T0053)
When the victim next interacted with Gemini, the Workspace Extension was invoked.
S05
- AI 智能体工具 (AML.T0085.001)
The Workspace Extension searched for the document and placed its content in the chat context.
关联战术
参考资料
以下为 MITRE ATLAS 官方案例收录的参考来源：
版本: ATLAS 2026.09 | 更新: 2026-10-24 | 模板: ATLAS 案例研究 v1.0