研究者らは、5つのオープンソースAndroid AIエージェントでのテストで、ユーザーが見えない、画面端や2%の不透明度で配置されたテキストがAIシステムを欺き、PCに悪意のあるコマンドを送信できることを示した。これらのテキストはスクリーンショット取得時に読み取られ、ADBコマンドを通じてWindowsシステムでcalc.exeなどのアプリを起動させる可能性がある。

攻撃は、スクリーンショットがファイルとして保存され、その後取得されるまでのわずかな時間差（平均210ms）を利用する。この期間中に、バックグラウンドで動作するサービスがスクリーンショットを変更し、AIが誤ったデータを読み取るよう仕向ける。また、一部のエージェントはユーザー入力を直接システムシェルに渡すが、セキュリティチェックが欠如しているため、単純なテキストでもコマンドインジェクションを引き起こす。

一部の対策は存在する。Open-AutoGLMのようなプロジェクトは、コマンドを文字列として送信し、ファイル書き込みではなくスクリーンショットを直接ストリーミングする。しかし、こうした改善は一部のプロジェクトに限られ、他の多くは依然として脆弱性を抱えており、いずれもセキュリティ報告チャネルを備えていない。研究者らは、こうしたエージェントの開発者向けドキュメンテーションが、実際には攻撃面を形成していると指摘している。