Die Forscher demonstrierten insgesamt sieben Angriffe gegen die fünf Frameworks. Jedes der Projekte war gegen mindestens sechs der sieben Techniken anfällig. Besonders brisant ist die Kette zur Ausweitung auf den Host-Rechner: Bei AppAgent läuft der Controller mit subprocess.run(adb_command, shell=True), während Texteingaben direkt in adb shell input text {input_str} eingefügt werden. Laut der in der Arbeit gezeigten Implementierung fehlt jede Bereinigung. Der aktuelle Code entferne zwar Leerzeichen und einfache Anführungszeichen, lasse aber andere Shell-Metazeichen wie ;, & oder > unangetastet.
Dadurch kann ein String, den das Modell vom Bildschirm abliest und anschließend eintippt, vom Shell-Interpreter auf dem Host aufgetrennt werden, sodass der hintere Teil als eigener Befehl auf dem Windows-Rechner des Operators ausgeführt wird. Ein für den Start von calc.exe gebautes Nutzsignal funktionierte laut den Forschern in 20 von 20 Versuchen gegen AppAgent, AppAgentX, Mobile-Agent-v3 und MobA. In einem separaten Ende-zu-Ende-Test mit AppAgent schrieb die Zeichenfolge test;pwd>rce_success das Arbeitsverzeichnis des Hosts in eine Datei.
Um solche Zeichenfolgen vor das Modell zu bringen, nutzten die Forscher Rennen um Screenshot-Dateien aus. Open-AutoGLM verwendet screencap -p /sdcard/tmp.png und zieht die Datei erst danach per adb pull. Mobile-Agent-v3 schreibt nach /sdcard/screenshot.png und wartet dazwischen eine halbe Sekunde. AppAgentX speichert unter /sdcard/ in zeitgestempelten Dateinamen mit hochzählendem Schrittzähler, ein Muster, das sich beobachten lässt. Bei AppAgent zeigt die ausgelieferte config.yaml das Screenshot-Verzeichnis weiterhin standardmäßig auf /sdcard.
Den Abstand zwischen Aufnahme und Abholung maßen die Forscher mit 50 bis 500 Millisekunden, im Mittel rund 210 Millisekunden über 100 Durchläufe. Ein Hintergrunddienst, der alle 5 bis 10 Millisekunden prüft, habe in diesem Fenster Zeit, eine Dateisperre zu setzen, die PNG-Datei zu verändern und wieder freizugeben. In vier der fünf Frameworks gelang diese Manipulation in 19 von 20 bis 20 von 20 Versuchen.
Zusätzlich testete das Team visuelle Täuschungen. Eine unsichtbare Einblendung konnte dem Agenten etwa vorgaukeln, eine Netzwerksynchronisation laufe und er solle drei Sekunden warten; das Modell glaubte das. Alle sechs getesteten Bildmodelle lasen Text mit 2 Prozent Deckkraft in mindestens 18 von 20 Laborversuchen. GPT-4o, Claude Opus 4.5, Gemini 3 Pro und GLM-4V erreichten 20 von 20. AutoGLM-Phone, ein 9B-Modell auf dem Gerät selbst, kam auf 18 von 20. Die Arbeit bewertet diese Deckkraft als unterhalb der üblichen menschlichen Wahrnehmung bei normaler Betrachtung.
Auch die Hardware selbst eröffnet einen Kanal: Abgerundete Ecken und Kameraaussparungen verdecken Bereiche, während der Framebuffer rechteckig bleibt. Pixel in diesen Zonen liegen unter dem Rand des Geräts, erscheinen aber im Screenshot. Auf einem Pixel 4 ergab das laut den Forschern in einer Ecke etwa 78 Pixel versteckte Breite, genug für einen kurzen Befehl; alle fünf Agenten lasen daraus Nutzdaten.
Ein weiterer Angriff verzichtet auf Tarnung und legt per Accessibility-Dienst eine gefälschte Login-Activity über eine echte App. Der Agent tippte dann die Zugangsdaten des Nutzers in das falsche Fenster. Über 100 Versuche hinweg zögerte keines der fünf Frameworks. Hinzu kommen Risiken durch Eingabekanäle: Open-AutoGLM codiert Texte per Base64 und sendet sie an ADB_INPUT_B64, einen impliziten Broadcast, den ADB Keyboard entgegennimmt. Mobile-Agent-v3 schickt nicht-ASCII-Zeichen einzeln über ADB_INPUT_TEXT, während MobA bei nur einem Emoji oder akzentuierten Buchstaben die gesamte Nachricht per Broadcast versendet. Jede App, die dieselbe Aktion registriert, kann diese Daten ohne Berechtigung mitlesen. Mit Accessibility liefert außerdem TYPE_VIEW_TEXT_CHANGED denselben Klartext, einschließlich Passwortfeldern, gegen alle fünf Frameworks.
Zhang sagte, das Team habe die Maintainer vorab privat per E-Mail informiert und „bis heute keine Antwort erhalten“. Laut ihm gibt es in den Projekten keinen eigenen Kanal für Schwachstellenmeldungen; The Hacker News fand zudem in keinem der fünf Repositories eine veröffentlichte Sicherheitsrichtlinie. Die Arbeit ergänzt, dass Tencent und Alibaba zuerst angesprochen worden seien und forschungsnahe Open-Source-Projekte oft außerhalb der üblichen Zuständigkeit von Security Response Centern lägen.
Nicht alle Probleme betreffen jedes Projekt gleichermaßen. MobA streamt Screenshots per exec-out und vermeidet damit eine geräteseitige Datei, um die sich ein Rennen führen ließe. Open-AutoGLM übergibt Argumente als Listen statt über zusammengefügte Strings und ist damit als einziges der fünf Frameworks gegen Host-Kommandoinjektion geschützt. Beide lösen jedoch nicht beide Problemklassen zugleich. Die Forscher betonen, dass keine der von ihnen vorgeschlagenen Gegenmaßnahmen Änderungen am Modell selbst erfordert. Eine Bestätigungsabfrage für sensible Aktionen, wie Open-AutoGLM sie mitliefert, halten sie jedoch gegen unterschwellige Injektion, UI-Spoofing und Screenshot-Manipulation für unzureichend.
Die Arbeit verweist außerdem auf Microsofts Analyse von Semantic Kernel aus dem Mai, bei der derselbe Grundmechanismus — Modellausgabe erreicht eine Shell — zu CVE-2026-25592 und CVE-2026-26030 sowie zu einem gepatchten Release führte. Microsofts Kurzformel lasse sich hier unverändert anwenden: „Ihr LLM ist keine Sicherheitsgrenze.“