Asisten Gemini di perangkat Android ternyata masih bisa mengirim SMS dari layar kunci tanpa memasukkan PIN, meski izin ke aplikasi Pesan sudah dicabut pemilik perangkat. Celah itu dieksploitasi lewat akses fisik singkat sekitar tiga detik dengan sentuhan simultan pada opsi lampiran dan tombol lanjut di antarmuka AI.
Laporan pertama sampai ke Google pada Mei 2026 dan sudah diakui, namun hingga pertengahan Juli 2026 pembaruan keamanan resmi belum keluar. Dalam ringkasan Optimaise News, indikasi awal menunjuk Android 16 serta sejumlah skin OEM ikut terpapar—bukan hanya jajaran Pixel—sehingga jutaan unit masih rentan.
Celah Bypass yang Memanfaatkan Interaksi Layar Kunci dalam Hitungan Detik
Pada kondisi normal, sistem tampak menjaga batas keamanan. Setelah pengguna menonaktifkan akses Gemini ke Messages, permintaan PIN muncul saat AI diminta mengirim pesan dari layar kunci.
Penyerang cukup menyentuh opsi “Add attachment” sambil menekan “Continue” secara bersamaan. Prompt PIN lenyap, dan pesan terkirim tanpa otorisasi tambahan apa pun.
Seluruh rangkaian itu hanya butuh kontrol fisik sangat singkat. Tidak diperlukan root, malware, maupun rekayasa jarak jauh—cukup gawai yang sempat dipegang orang lain beberapa detik.
Risiko Pemulihan Izin Privasi yang Terjadi Tanpa Jejak atau Notifikasi
Trik yang sama diam-diam menghidupkan kembali akses Gemini ke WhatsApp. Preferensi privasi yang sebelumnya dimatikan pengguna ikut dibalik tanpa peringatan.
Tidak ada log aktivitas, tidak ada notifikasi sistem. Yang berubah hanyalah pengaturan izin di balik layar, sehingga pemilik sulit menyadari bila tidak memeriksa manual.
Intinya bukan sekadar teks SMS ilegal. Celah ini meniadakan keputusan keamanan pengguna di tingkat izin aplikasi, termasuk kanal pesan yang biasanya dianggap lebih privat.
Status Perbaikan Google dan Indikasi Versi Android yang Masih Terpapar
Google menerima laporan kerentanan pada Mei 2026. Kini lebih dari sepuluh minggu berlalu tanpa patch keamanan yang tersedia untuk publik.
Siklus enam hingga sepuluh minggu untuk perbaikan bug level sistem operasi sering dianggap wajar di industri. Namun publikasi temuan di The Register sebelum rilis patch membuat isu ini mendesak bagi pemilik perangkat.
Versi Android mana saja yang terdampak belum dikonfirmasi resmi secara rinci. Indikasi awal mencakup Android 16 dan beberapa antarmuka vendor lain, sehingga risiko tidak terbatas pada perangkat Pixel saja.
Langkah Pengamanan Sementara yang Bisa Dilakukan Pemilik Perangkat Sekarang
Karena pembaruan belum hadir, kendali fisik menjadi garis depan. Jangan serahkan ponsel terbuka atau layar kunci yang sudah dibuka ke orang lain, meski hanya sebentar.
Setelah gawai sempat dipinjam, periksa ulang izin Gemini untuk Messages dan WhatsApp. Pastikan opsi yang semula dimatikan tidak tiba-tiba aktif kembali tanpa sepengetahuan Anda.
Pantau terus saluran pembaruan keamanan sistem dan aplikasi Google. Catatan Optimaise News menekankan waspada mandiri sekarang lebih penting daripada menunggu jadwal patch yang belum diumumkan.
Hindari membiarkan AI di layar kunci memproses perintah pesan saat perangkat tidak diawasi. Batasi juga fitur asisten yang tidak benar-benar dibutuhkan di lingkungan kerja atau keluarga yang sering saling pinjam ponsel.
Skenario Peminjaman Ponsel yang Mengubah Preferensi Keamanan Diam-diam
Bayangkan pengguna mematikan akses AI ke WhatsApp demi privasi. Seseorang meminjam HP sesaat, menjalankan trik simultan di layar kunci, lalu mengembalikan perangkat seperti semula.
Tanpa log atau peringatan, izin WhatsApp untuk Gemini hidup lagi. Mulai saat itu asisten berpotensi membaca atau mengirim pesan dari layar kunci sesuai alur celah yang sama.
Dampaknya melampaui satu SMS siluman. Preferensi privasi yang sudah diatur hati-hati bisa dibalik total hanya karena akses fisik singkat yang tampak sepele.
Di lingkungan kantor, keluarga, atau acara sosial, kebiasaan saling pinjam ponsel justru memperbesar permukaan serangan. Kewaspadaan terhadap siapa yang memegang gawai menjadi bagian integral mitigasi sebelum patch tiba.
FAQ
Apa yang bisa dilakukan Gemini lewat celah ini?
Gemini dapat mengirim SMS dari layar kunci tanpa PIN meski izin Messages sudah dicabut, dan trik yang sama bisa mengaktifkan ulang akses ke WhatsApp secara senyap.
Berapa lama akses fisik yang dibutuhkan penyerang?
Estimasi dari temuan menunjukkan sekitar tiga detik dengan sentuhan simultan pada opsi lampiran dan tombol lanjut di antarmuka AI.
Kapan Google menerima laporan dan apakah patch sudah keluar?
Laporan masuk Mei 2026 dan diakui perusahaan, tetapi hingga pertengahan Juli 2026 pembaruan resmi belum dirilis—sudah lewat lebih dari sepuluh minggu.
Perangkat mana yang berpotensi terdampak?
Jutaan unit Android, termasuk Pixel dan skin OEM lain; indikasi awal juga menyebut Android 16, meski daftar versi final belum dikonfirmasi Google secara rinci.
