Nghiên cứu: AI agent Android mã nguồn mở có thể bị lạm dụng để thực thi lệnh trên PC điều khiển
"Researchers reported seven attack techniques against five open-source Android AI agent frameworks, including command injection, screenshot tampering, overlay-based prompt injection, and credential theft. The attacks can let hidden screen text or malicious input cause commands to execute on the host PC; fixes include removing shell=True, streaming screenshots instead of file-based pull, and restricting input broadcasts, though no CVE was assigned."
Nguy cơ cao do chuỗi tấn công có thể biến văn bản từ màn hình thành lệnh thực thi trên host PC; các điểm then chốt gồm command injection và tampering screenshot/file race. Ngoài ra, cơ chế nhập qua broadcast/debug và dịch vụ trợ năng có thể dẫn tới rò rỉ thông tin đăng nhập trong một số kịch bản.
Tác động vận hành ở mức trung bình-cao: nếu tổ chức sử dụng các framework này trong quy trình tự động hóa/QA, kẻ tấn công có thể lợi dụng để gây gián đoạn hoặc chiếm quyền thao tác trên máy điều khiển. Rủi ro tăng khi có USB/wireless debugging và cài đặt thêm thành phần như ADB Keyboard hoặc ứng dụng hỗ trợ tương tác.
Các nhà nghiên cứu công bố 7 kỹ thuật tấn công nhắm vào 5 framework AI agent Android mã nguồn mở (AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM, MobA). Mục tiêu là chuỗi tấn công từ điện thoại sang PC điều khiển: ứng dụng có thể vẽ lớp phủ, ghi vào shared storage, và “nhúng” chỉ dẫn dưới dạng văn bản không thể nhìn thấy để AI agent đọc rồi chuyển thành lệnh trên máy chủ.
Điểm leo thang đáng chú ý gồm command injection qua cơ chế gọi shell (ví dụ AppAgent dùng subprocess.run(..., shell=True) và ghép chuỗi đầu vào không được làm sạch), tampering ảnh chụp màn hình bằng cách tạo điều kiện file race giữa bước chụp và bước kéo ảnh, cùng overlay-based prompt injection để làm mô hình chờ hoặc hiểu sai ngữ cảnh. Các thử nghiệm cho thấy payload như calc.exe chạy được trong 20/20 lần trên nhiều framework; một số biến thể còn có thể ghi thư mục làm việc của host ra file.
Về khuyến nghị, bài báo nêu các hướng giảm thiểu như **loại bỏ shell=True*, stream screenshot thay vì ghi file rồi pull, siết quyền/đích cho broadcast nhập liệu, và xác thực activity/allowlist theo từng tác vụ. Không có CVE* được gán trong công bố này.