Krypteret promptinjektion kan gøre Grok til værktøj for datalæk

Adversa AI-forskeren Rony Utevsky har rapporteret en såkaldt nul-klik, indirekte promptinjektion, der påvirker Groks webagent. I det beskrevne scenarie skal brugeren blot bede Grok om at opsummere eller analysere en webside, som en angriber kontrollerer. Siden skjuler sine instruktioner som krypterede data, hvorefter Grok angiveligt får dem dekrypteret og behandlet i sit eget kørselsmiljø.

Konsekvensen kan være alvorlig: Den dekrypterede nyttelast kan instruere agenten i at hente private sessionsoplysninger og indsætte dem i en forespørgsel til en ekstern server. Dokumentationen stammer først og fremmest fra Adversa AI’s egen offentliggørelse og relateret omtale. Den bør derfor forstås som et rapporteret proof of concept – ikke som en uafhængigt bekræftet sårbarhed fra xAI.

Hvad ændrer Cryptographic Context Injection?

Mange forsvar mod promptinjektion leder efter mistænkelige instruktioner i tekst. Adversas metode forsøger at flytte de skadelige instruktioner uden for denne kontrol ved at placere dem på websiden som chiffertekst. Ifølge rapporten indeholder siden en JSON-nyttelast krypteret med AES-256-GCM, nøglemateriale og instruktioner, der får Grok til at køre dekrypteringskode i sit Python- eller sandboxmiljø.

Der er ikke tale om et kryptografisk angreb på AES. Krypteringen bruges som en undvigeteknik: Et indholdsfilter kan se uigennemsigtig chiffertekst, mens agenten selv har de værktøjer, der senere kan omdanne teksten til instruktioner.

Det er en vigtig forskel. At filtrere synlig tekst er ikke det samme som at kontrollere, hvad en agent må gøre, når den har fortolket, dekrypteret, kørt eller modtaget data fra en kilde, man ikke stoler på.

Sådan forløber det rapporterede angreb

På et overordnet plan består angrebskæden af fire trin:

1. Den ondsindede side ligner almindeligt indhold. Brugeren beder Grok om at opsummere eller analysere siden.
2. Siden leverer krypterede data og vejledning til dekryptering. Adversa oplyser, at nyttelasten bruger AES-256-GCM med en PBKDF2-afledt nøgle, så hovedinstruktionerne forbliver skjulte under den første indholdskontrol.
3. Grok kører den leverede dekrypteringslogik. De klare tekstinstruktioner dukker ifølge rapporten op gennem modellens kode- eller værktøjskørsel, snarere end som synlig tekst fra den oprindelige webside. Adversa siger, at Grok derefter håndterer resultatet som betroet kontekst.
4. Nyttelasten styrer agentens næste handling. Instruktionerne skulle få Grok til at finde private sessionsoplysninger, indsætte dem i en URL og åbne URL’en, så oplysningerne blev sendt til et slutpunkt under angriberens kontrol.

Adversas proof of concept omfattede ifølge virksomheden brugerens navn, omtrentlige placering, abonnementstype, prompts og samtalehistorik. Overførslen blev gennemført uden en synlig advarsel eller bekræftelse i demonstrationen.

Den egentlige sikkerhedsgrænse er runtime-miljøet

Den centrale fejl er ikke blot, at Grok blev præsenteret for en ondsindet prompt. Det er, at data fra en upålidelig webside angiveligt krydsede flere tillidsgrænser:

• Webindhold blev til handlingsanvisende eller eksekverbart input.
• Dekrypteret output blev behandlet som mere troværdigt, end kildens oprindelse berettigede til.
• Privat samtale- eller sessionskontekst blev tilgængelig for angrebskæden.
• Agenten kunne bruge en ekstern forespørgsel til at føre data ud af sessionen.

En instruktion bliver ikke automatisk troværdig, fordi den er produceret af en dekrypteringsrutine, returneret af et værktøj eller placeret i et mellemliggende runtime-resultat. Systemet skal bevare informationen om, hvor data kommer fra, gennem alle disse transformationer. Ellers kan en angriber bruge parsing, kodekørsel, hentning af indhold eller værktøjsoutput til at få upålideligt indhold til at ligne autoritative instruktioner.

Offentliggørelse og status

Ifølge Adversas redegørelse rapporterede Utevsky problemet til xAI og via HackerOne 3. juni 2026. I Adversas offentliggørelse 20. august stod der, at problemet havde været uløst i mere end to måneder trods opfølgninger.

Den tilgængelige omtale indeholdt på offentliggørelsestidspunktet ikke et offentligt svar fra xAI, et CVE-nummer, en patch eller en tidsplan for afhjælpning. Status bygger på forskerens redegørelse og samtidig mediedækning; der er ikke fremlagt en uafhængigt offentliggjort xAI-udtalelse, som bekræfter fundet eller en løsning.

Hvad bør ændres?

Adversas anbefalinger handler primært om agentens runtime og ikke om endnu flere søgeord eller tekstfiltre. De vigtigste kontroller er:

• Bevar oprindelse og tillidsmærkning. Indhold fra en webside skal fortsat være upålideligt efter parsing, dekryptering, kodekørsel eller brug af værktøjer.
• Adskil data fra autoritet. Upålideligt indhold og værdier, der er afledt af det, bør ikke kunne aktivere privilegerede værktøjer, læse privat samtalekontekst eller bestemme følsomme værktøjsparametre.
• Begræns udgående trafik. Agenten bør bruge tilladelseslister, destinationskontrol og regler mod datalæk, før oplysninger sendes til et nyt eksternt slutpunkt.
• Kræv meningsfuldt samtykke. Handlinger, der involverer privat kontekst eller ekstern transmission, bør kræve en tydelig bekræftelse fra brugeren med oplysninger om, hvilke data der sendes, og hvor de ender.
• Brug mindst mulige privilegier. En opgave om at opsummere en webside bør ikke automatisk give adgang til fuld samtalehistorik, profilmetadata, kodekørsel eller et ubegrænset netværk.

Tiltagene adresserer den farlige kombination af upålideligt input, privat kontekst, kodekørsel og værktøjer, der kan udføre handlinger. Modellens egen evne til at afvise en anmodning er ikke i sig selv en tilstrækkelig sikkerhedsgrænse.

Sammenhæng med andre angreb mod AI-agenter

Grok-rapporten indgår i et bredere mønster, hvor angribere manipulerer det indhold, en agent bliver bedt om at behandle, og derefter udnytter agentens legitime tilladelser til at fuldføre angrebet.

Microsoft 365 Copilots EchoLeak blev beskrevet som en nul-klik-sårbarhed for promptinjektion, hvor en fabrikeret e-mail kunne muliggøre fjernbaseret og uautentificeret eksfiltrering af data, som assistenten havde adgang til. Et akademisk casestudie identificerer problemet som CVE-2025-32711.

Separat omtale af Microsoft Copilot Personal beskrev CoSnitch-kæden, hvor et speciallavet link kunne udløse promptkørsel og dataeksfiltrering fra tilsluttede applikationer. Forskerne oplyste, at Microsoft udsendte rettelser 18. august 2026.

Kodeagenter udsættes for en lignende risiko via softwareprojekter i stedet for websider. Adversa har rapporteret, at ondsindede repositories kunne udnytte tillids- og konfigurationsadfærd i flere kodeassistenter, herunder Claude Code, Cursor CLI, Gemini CLI og Copilot CLI, så de kørte angriberkontrollerede MCP-servere med potentielt brede rettigheder. En anden Adversa-rapport beskrev en politikomgåelse i et repository, hvor lange kæder af shell-kommandoer kunne føre til tyveri af legitimationsoplysninger eller hemmeligheder.

Leveringsmetoden varierer – e-mail, URL, dokument, repository, krypteret webside eller værktøjsintegration – men den arkitektoniske læring er den samme: En agent må ikke omdanne angriberkontrolleret indhold til tilladelse til at læse fortrolige data eller udføre en ekstern handling.

Den bredere sikkerhedsmæssige betydning

Cryptographic Context Injection viser, hvorfor agentsikkerhed ikke kan stoppe ved at scanne den tekst, der først kommer ind i kontekstvinduet. En agent kan møde instruktioner efter dekryptering, hentning, parsing, kodekørsel, hukommelsesadgang eller et andet værktøjskald. Hvis hver transformation fjerner informationen om datas oprindelse, kan en angriber udnytte kløften mellem det, systemet klassificerer som upålideligt, og det, runtime-miljøet senere behandler som betroet.

For brugere er den praktiske læring at være forsigtige, når en agent med adgang til private samtaler eller værktøjer skal behandle ukendte websider, dokumenter, links eller repositories. For udviklere er kravet større: Tillidsgrænserne skal håndhæves i runtime-miljøet, adgangen til følsom kontekst skal begrænses, værktøjsparametre skal kontrolleres, udgående netværkstrafik skal styres, og handlinger med stor effekt skal være synlige og kræve bekræftelse.

Den rapporterede Grok-teknik bør derfor ikke forstås som et forsøg på at “knække AES”, men som en advarsel om, hvordan autoritet kan vaskes ren. Krypteret indhold kan skjule en instruktion for et filter, men kun et for åbent runtime-miljø kan forvandle den skjulte instruktion til en handling, der stjæler data.