Los investigadores demostraron en pruebas realizadas con cinco agentes de IA de Android de código abierto que los textos invisibles, colocados en los bordes de la pantalla o con una opacidad del 2%, pueden engañar a los sistemas de IA y enviar comandos maliciosos a computadoras. Estos textos se leen cuando se toman capturas de pantalla y pueden provocar el inicio de aplicaciones como calc.exe en sistemas Windows mediante comandos ADB.
Los ataques aprovechan el pequeño intervalo de tiempo (promedio de 210 ms) entre el guardado de una captura de pantalla como archivo y su extracción. Durante este período, un servicio en segundo plano puede modificar la captura de pantalla, haciendo que la IA lea datos incorrectos. Además, algunos agentes transmiten directamente las entradas del usuario a la shell del sistema, y al carecer de controles de seguridad, incluso textos simples pueden provocar inyección de comandos.
Existen algunas soluciones: proyectos como Open-AutoGLM envían comandos como secuencias y transmiten directamente las capturas de pantalla en flujo en lugar de escribir archivos. Sin embargo, estas mejoras solo están presentes en algunos proyectos. Otros aún contienen vulnerabilidades, y ninguno cuenta con un canal de notificación de seguridad. Los investigadores destacan que la documentación destinada al uso por desarrolladores de estas herramientas en realidad crea una superficie de ataque.