Kerentanan pada Gemini di layar kunci Android berpotensi memungkinkan pengiriman SMS tanpa memasukkan PIN. Celah ini mengkhawatirkan karena hanya membutuhkan akses fisik ke ponsel selama beberapa detik.
Masalahnya tidak berhenti pada pesan teks. Izin Gemini untuk mengakses WhatsApp yang sebelumnya telah dicabut juga disebut dapat aktif kembali tanpa pemberitahuan kepada pemilik perangkat.
Bypass Terjadi Saat Permintaan PIN Muncul
Dalam kondisi normal, pengguna yang sudah menonaktifkan akses Gemini ke aplikasi Messages akan diminta memverifikasi PIN ketika AI diminta mengirim pesan dari layar kunci. Mekanisme itu seharusnya mencegah orang lain memakai Gemini untuk mengirim SMS tanpa otorisasi.
Namun, celah ini dapat dipicu dengan menyentuh tombol “Add attachment” sambil menekan “Continue” secara bersamaan. Permintaan PIN kemudian dapat menghilang dan pesan terkirim tanpa verifikasi tambahan.
Menurut laporan gadget.viva.co.id, cara tersebut tidak memerlukan keahlian teknis khusus maupun waktu lama. Orang yang memegang perangkat disebut dapat menirukan gerakan dua jari itu dalam waktu kurang dari tiga detik.
Risiko Lebih Besar dari Sekadar SMS
Dampak utama kerentanan ini adalah potensi perubahan kembali preferensi privasi yang sudah dipilih pengguna. Saat akses Gemini ke WhatsApp aktif lagi, kontrol yang sebelumnya sengaja dimatikan dapat tidak lagi berlaku tanpa adanya notifikasi.
Situasi itu berisiko bagi pengguna yang mematikan integrasi AI dengan WhatsApp demi menjaga privasi percakapan. Seseorang yang meminjam ponsel sebentar dapat memanfaatkan layar kunci untuk mengubah keadaan izin tersebut tanpa diketahui pemiliknya.
Artikel yang memuat temuan ini juga menyoroti tidak adanya log atau pemberitahuan ketika pengaturan berubah melalui celah tersebut. Kondisi ini membuat pengguna lebih sulit menyadari bahwa akses Gemini telah kembali diaktifkan.
| Aspek | Kondisi yang Seharusnya | Risiko pada Celah |
|---|---|---|
| Pengiriman SMS | Memerlukan PIN dari layar kunci | PIN dapat terlewati dan SMS terkirim |
| Akses WhatsApp | Tetap nonaktif setelah izin dicabut | Izin dapat aktif kembali tanpa notifikasi |
Google Disebut Sudah Menerima Laporan
Kerentanan ini pertama kali dilaporkan oleh peneliti keamanan pada Mei 2026 dan telah diakui oleh Google. Hingga pertengahan Juli 2026, pembaruan keamanan resmi untuk menutup masalah tersebut belum tersedia.
Siklus perbaikan bug tingkat sistem selama enam hingga sepuluh minggu dapat terjadi dalam dunia keamanan. Namun, publikasi temuan tersebut oleh The Register sebelum patch dirilis membuat langkah pencegahan dari pengguna menjadi lebih mendesak.
Google belum mengonfirmasi daftar lengkap versi Android dan perangkat yang terdampak. Indikasi awal yang disebut dalam laporan mengarah ke Android 16 serta sejumlah antarmuka milik vendor lain, sehingga risikonya tidak terbatas pada ponsel Pixel.
Siapa yang Perlu Waspada?
Pengguna yang memakai Android 16 atau versi Android terbaru perlu memeriksa pengaturan Gemini, khususnya bila fitur tersebut dapat digunakan dari layar kunci. Risiko juga relevan bagi pengguna yang pernah memberi izin akses Messages atau WhatsApp, meski izin itu kemudian telah dicabut.
Akses fisik menjadi unsur penting dalam skenario serangan ini. Karena itu, ponsel yang sering dipinjamkan atau diletakkan tanpa pengawasan membutuhkan perlindungan tambahan sampai perbaikan resmi tersedia.
Langkah Sementara untuk Mengurangi Risiko
Pilihan paling langsung adalah menonaktifkan akses Gemini ke Messages, WhatsApp, dan Phone melalui menu pengaturan aplikasi Gemini. Pengguna juga dapat mematikan opsi penggunaan Gemini dari layar kunci agar jalur pemicu celah tersebut tidak tersedia.
Alternatif lain adalah menonaktifkan shortcut AI pada pengaturan layar kunci, jika opsi itu tersedia pada perangkat. Nama menunya dapat berbeda antarprodusen, tetapi dapat muncul sebagai “AI shortcuts” atau “Gemini on lock screen”.
| Langkah Mitigasi | Lokasi Pengaturan | Dampak |
|---|---|---|
| Cabut izin aplikasi | Settings > Apps > Gemini > Permissions | Menghapus akses Gemini ke Messages, WhatsApp, dan Phone |
| Matikan akses layar kunci | Settings > Display > Lock screen | Menghilangkan shortcut AI sebagai vektor serangan |
Langkah tersebut memang mengurangi kenyamanan penggunaan AI dari layar kunci, tetapi dapat membatasi potensi penyalahgunaan saat perangkat berada di tangan orang lain. Pengguna juga perlu memantau pembaruan keamanan perangkat dan memasangnya ketika patch resmi telah dirilis.
Kasus ini memperlihatkan pentingnya kontrol izin yang konsisten pada integrasi AI di sistem operasi. Ketika izin yang telah dicabut dapat berubah tanpa konfirmasi, pengguna perlu mengambil tindakan manual untuk menjaga batas privasi yang telah ditetapkan.