Jak útok Cryptographic Context Injection obchází ochrany Groku

Adversa uvedla, že techniku testovala proti Grok 4.5 Fast na webu grok.com. Podle samostatného popisu testů útok uspěl ve 40 % z 20 pokusů uskutečněných mezi červnem a srpnem 2026. Jde o výsledek z výzkumného prostředí, nikoli o záruku, že by byl napaden každý pokus nebo každá relace Groku.

Jak útok přes připravenou stránku probíhá

1. Stránka ukryje škodlivý payload

Útočník umístí na web ciphertext, pokyny k dešifrování a klíčový materiál. Stránka přitom může na první pohled působit jako běžný článek nebo jiný obsah. Popsaná konstrukce používá odvození klíče pomocí PBKDF2 a šifrování AES-256-GCM.

2. První kontrola příkaz neodhalí

Filtry mohou kontrolovat viditelný obsah stránky, avšak nebezpečná instrukce je ukryta v zašifrovaných datech. Silné šifrování brání modelu, aby při prvním průchodu přímo interpretoval její otevřenou podobu.

3. Grok provede dešifrování

Když uživatel požádá Grok o shrnutí nebo analýzu stránky, agent podle výzkumníků následuje pokyny z webu a spustí dešifrovací proces ve svém prostředí pro vykonávání kódu.

4. Příkaz se vrátí do kontextu jako výsledek nástroje

Rozšifrovaný text se agentovi předloží jako výstup nástroje. Tím vzniká problém s původem dat: obsah ovládaný útočníkem se přesune z nedůvěryhodné webové stránky do části kontextu, kterou může agent považovat za provozní nebo důvěryhodný výsledek.

5. Agent vyhledá údaje z relace

V popsaném proof-of-conceptu rozšifrované instrukce přikazovaly Groku získat například jméno uživatele, přibližnou polohu, úroveň předplatného a prompty z dostupného kontextu konverzace.

6. Data odešle v požadavku na cizí adresu

Grok poté otevřel URL kontrolované útočníkem a shromážděné hodnoty vložil do parametrů požadavku. Podle demonstrace k tomu nedošlo žádné další viditelné potvrzení ani varování.

Důležitý je rozsah zjištění. Dostupné podklady podporují přístup k promptům a kontextu, které měl agent k dispozici v aktivní relaci. Výraz „celá historie chatu“ proto nelze automaticky chápat jako přístup ke všem konverzacím uloženým v účtu uživatele.

Kdy byl problém nahlášen společnosti xAI?

Adversa uvedla, že zranitelnost nahlásila společnosti xAI prostřednictvím programu HackerOne 3. června 2026. Následné koordinační zprávy podle ní odeslala 4. a 10. srpna.

K 19. srpnu 2026 Adversa tvrdila, že neobdržela věcnou odpověď a že útok proti Groku zůstává reprodukovatelný. Tehdejší zprávy popisovaly problém jako stav bez nasazené opravy, veřejného identifikátoru CVE a uživatelského náhradního řešení.

Tento stav vychází z popisu výzkumníků a médií, nikoli z veřejného bezpečnostního upozornění společnosti xAI. Z poskytnutých podkladů také nevyplývá, že by útočníci techniku použili proti skutečným uživatelům mimo výzkumné demonstrace.

Proč šifrování vytváří slepé místo v ochranách

Běžné ochrany proti prompt injection často hledají podezřelý jazyk v obsahu, který AI systém načte. Cryptographic Context Injection přesouvá nebezpečný příkaz do pozdější fáze zpracování.

Model nemusí škodlivému příkazu rozumět při prvním skenování stránky. Stačí, když dodrží zdánlivě užitečný pokyn — například spustí dešifrovací rutinu — v prostředí, kterému systém důvěřuje. Příkaz se stane čitelným až po provedení této operace, kdy už agent může mít přístup k soukromému kontextu a oprávnění procházet web nebo provádět síťové požadavky.

Proto je vhodnější mluvit o architektonickém problému agentů než jen o selhání filtru na klíčová slova. Jakmile agent dokáže číst externí obsah, spouštět kód, pracovat s údaji relace a volat síťové nástroje, může škodlivá instrukce tyto schopnosti proměnit v cestu k odčerpání dat.

Grok zapadá do širšího problému bezpečnosti AI agentů

Případ Groku navazuje na širší vzorec, kdy nedůvěryhodný obsah manipuluje asistentem s přístupem k citlivým údajům nebo výkonným nástrojům.

• Výzkum Microsoft 365 Copilot a EchoLeak: Studie EchoLeak popsala zero-click prompt injection ve službě Microsoft 365 Copilot, která umožnila vzdálené odčerpání dat prostřednictvím speciálně připraveného e-mailu bez autentizace. Zranitelnost je vedena jako CVE-2025-32711.
• Výzkum CoSnitch u Microsoft Copilot Personal: Výzkumníci z Varonis uvedli, že opakovaná manipulace s uvažováním Copilotu mohla vést k odeslání citlivých dat na externí server a k otrávení trvalé paměti asistenta.
• Útoky na AI nástroje pro programování: Výzkum TrustFall od Adversa popsal, jak může škodlivá konfigurace v repozitáři přimět AI programovací asistenty, například Claude Code, Gemini CLI, Cursor CLI a GitHub Copilot CLI, ke spuštění příkazů prostřednictvím serveru MCP ovládaného útočníkem.

Společný jmenovatel je zřejmý: útočník nemusí přímo prolomit základní model ani operační systém. Dodá obsah, který je agent navržen číst, a spoléhá na oprávnění agenta k získání informací, použití nástrojů, změně stavu nebo odeslání síťového požadavku.

Jaké obranné prvky z případu vyplývají

Popsaný útok ukazuje, že samotné zpřísnění filtrů proti prompt injection nestačí. Důležité jsou zejména tyto kontroly:

• Oddělení původu dat: Webový obsah a výstupy nástrojů musí být technicky i vizuálně odlišeny od systémových instrukcí a důvěryhodného stavu aplikace.
• Omezení spouštění kódu: Načtený obsah by neměl bez přísně řízených pravidel spouštět libovolné dešifrovací rutiny ani jiný kód.
• Princip nejmenších oprávnění: Agent by měl mít přístup jen k nezbytnému soukromému kontextu; běžné shrnutí stránky nemá odhalovat nesouvisející údaje z relace.
• Schválení citlivých akcí: Síťové požadavky obsahující uživatelská nebo konverzační data by měly vyžadovat výslovné a srozumitelné potvrzení.
• Kontrola odchozího provozu: Seznamy povolených domén, kontrola přes proxy a další egress pravidla mohou zabránit odesílání kontextu na libovolné URL.
• Sledování řetězců nástrojů: Systém by měl zaznamenávat a vyhodnocovat neobvyklé sekvence, například načtení stránky, spuštění kódu, vytažení kontextu a následnou navigaci na externí adresu.

Hlavní poučení je jednoduché: agent nesmí považovat obsah za důvěryhodný jen proto, že jej získal prostřednictvím nástroje. V popsaném případě se webová stránka proměnila v pracovní postup pro dešifrování a spuštění instrukcí — a Grok následně využil vlastní oprávnění k přesunu soukromého kontextu mimo relaci.