Un'app Android capace di disegnare sopra le altre finestre e di scrivere nell'archiviazione condivisa pu� passare istruzioni all'agente AI che pilota lo smartphone, in un testo che nessun occhio umano vedr� mai. Bastano due passaggi in pi� e la stessa app arriva a eseguire comandi sul PC che guida l'agente.
� la catena documentata in uno studio comparso su arXiv il primo luglio e rivisto il 14, firmato da ricercatori di Simon Fraser University, Chinese University of Hong Kong, Shandong University e dello Xingtu Lab della societ� di sicurezza cinese QAX; primo autore � Zidong Zhang. Gli autori descrivono e implementano sette attacchi distinti e li provano contro cinque framework open source di agenti mobile guidati da modelli visione-linguaggio (VLM): AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA. Ciascuno cede ad almeno sei dei sette. In diversi casi un'app malevola riesce a dirottare le azioni dell'agente e a ottenere l'esecuzione di comandi arbitrari senza alcun permesso privilegiato, restando indistinguibile agli occhi dell'utente.
Alla radice ci sono due superfici d'attacco che un agente aggiunge rispetto a un'app comune. La prima sfrutta la differenza tra ci� che vede una persona e ci� che legge la macchina: un agente percepisce lo stato del telefono tramite screenshot e decide le azioni facendo ragionare un VLM, quindi tutto ci� che entra nei pixel dello screenshot �, per lui, un comando potenziale. La seconda intercetta o manipola la catena con cui l'agente esegue le azioni.
