Grok का ‘Cryptographic Context Injection’ अटैक कैसे चैट डेटा लीक कर सकता है

‘पूरी चैट हिस्ट्री’ का अर्थ सावधानी से समझें

इस दावे की सीमा महत्वपूर्ण है। उपलब्ध प्रमाण सक्रिय सत्र में एजेंट को उपलब्ध कराए गए प्रॉम्प्ट और संदर्भ तक पहुँच का समर्थन करते हैं। इसलिए “पूरी चैट हिस्ट्री” को अपने-आप उपयोगकर्ता के खाते में मौजूद हर पुरानी बातचीत तक पहुँच नहीं समझना चाहिए। उपलब्ध विवरण मुख्यतः उस सक्रिय बातचीत या संदर्भ से जुड़े हैं जिसे Grok उस सत्र में पढ़ सकता था।

Adversa ने Grok 4.5 Fast को grok.com पर जाँचने की बात कही। परीक्षणों के एक अलग विवरण के अनुसार, जून से अगस्त 2026 के बीच 20 प्रयासों में 40% मामलों में हमला सफल रहा। यह शोधकर्ताओं के परीक्षण वातावरण का परिणाम है, हर Grok सत्र या हर प्रयास के लिए सफलता की गारंटी नहीं।

xAI को कब बताया गया और स्थिति क्या थी?

Adversa के अनुसार, उसने 3 जून 2026 को HackerOne के जरिए xAI को इस समस्या की सूचना दी थी। शोधकर्ताओं ने 4 अगस्त और 10 अगस्त को समन्वय के लिए दोबारा संपर्क भी किया।

19 अगस्त 2026 तक Adversa ने कहा कि उसे xAI की ओर से कोई ठोस प्रतिक्रिया नहीं मिली थी और Grok के खिलाफ हमला दोहराया जा सकता था। उस समय उपलब्ध रिपोर्टों में समस्या के लिए कोई सार्वजनिक रूप से जारी पैच, CVE पहचान संख्या या उपयोगकर्ताओं के लिए आधिकारिक workaround उपलब्ध नहीं बताया गया।

यह स्थिति शोधकर्ताओं और मीडिया रिपोर्टों पर आधारित है, xAI की ओर से जारी सार्वजनिक सुरक्षा सलाह नहीं। साथ ही, उपलब्ध सामग्री यह साबित नहीं करती कि शोधकर्ताओं के प्रदर्शन के बाहर वास्तविक उपयोगकर्ताओं पर इस तकनीक का इस्तेमाल हो चुका था।

एन्क्रिप्शन सुरक्षा-व्यवस्था में ‘ब्लाइंड स्पॉट’ क्यों बनाता है?

कई प्रॉम्प्ट-इंजेक्शन सुरक्षा प्रणालियाँ बाहरी सामग्री में संदिग्ध भाषा या पैटर्न पहचानने पर निर्भर करती हैं। Cryptographic Context Injection में खतरनाक निर्देश को शुरुआती स्कैन से पहले ही ciphertext में बदल दिया जाता है।

मॉडल को पेज पढ़ते समय दुर्भावनापूर्ण कमांड समझने की जरूरत नहीं पड़ती। उसे केवल एक उपयोगी दिखने वाला काम—जैसे डिक्रिप्शन रूटीन चलाना—करना होता है। कमांड कोड चलने के बाद स्पष्ट होती है, जब एजेंट के पास पहले से निजी संदर्भ पढ़ने और ब्राउज़र या नेटवर्क टूल इस्तेमाल करने की क्षमता हो सकती है।

इसीलिए इसे केवल खराब keyword filter की समस्या मानना अधूरा होगा। यह एजेंट की वास्तुकला से जुड़ा जोखिम है। जब कोई एजेंट बाहरी सामग्री पढ़ सकता है, कोड चला सकता है, सत्र डेटा तक पहुँच सकता है और नेटवर्क अनुरोध कर सकता है, तो हमलावर उसी एजेंट की अनुमतियों को डेटा-बहिर्गमन के रास्ते में बदल सकता है।

यह व्यापक AI-agent सुरक्षा समस्या का हिस्सा क्यों है?

Grok से जुड़ा खुलासा उस बड़े पैटर्न को दिखाता है जिसमें अविश्वसनीय सामग्री ऐसे AI सहायकों को प्रभावित करती है जिनके पास संवेदनशील डेटा और शक्तिशाली टूल का अधिकार होता है।

• Microsoft 365 Copilot का EchoLeak: EchoLeak केस स्टडी में Microsoft 365 Copilot की एक zero-click prompt-injection कमजोरी का दस्तावेजीकरण किया गया था। एक तैयार किए गए ईमेल के जरिए दूर से, बिना प्रमाणीकरण के डेटा बाहर भेजे जाने की संभावना बताई गई और इसे CVE-2025-32711 के रूप में ट्रैक किया गया।
• Microsoft Copilot Personal का CoSnitch शोध: Varonis के शोधकर्ताओं ने बताया कि Copilot की reasoning को बार-बार प्रभावित करने से संवेदनशील डेटा बाहरी सर्वर को भेजा जा सकता था और persistent memory में गलत जानकारी डाली जा सकती थी।
• AI coding agents पर TrustFall शोध: Adversa के TrustFall शोध में बताया गया कि किसी दुर्भावनापूर्ण repository की कॉन्फ़िगरेशन फाइलें Claude Code, Gemini CLI, Cursor CLI और GitHub Copilot CLI जैसे coding assistants से हमलावर के नियंत्रण वाले MCP सर्वर के जरिए कमांड चलवा सकती हैं।

इन मामलों में हमलावर को हमेशा मूल AI मॉडल या ऑपरेटिंग सिस्टम को सीधे तोड़ने की जरूरत नहीं होती। वह ऐसा कंटेंट उपलब्ध कराता है जिसे एजेंट को पढ़ना ही है और फिर एजेंट की अपनी अनुमतियों पर निर्भर करता है—जैसे जानकारी निकालना, टूल चलाना, स्थिति बदलना या नेटवर्क अनुरोध करना।

इस खुलासे से कौन-से बचाव संकेत मिलते हैं?

रिपोर्ट से संकेत मिलता है कि एजेंट सुरक्षा के लिए केवल मजबूत प्रॉम्प्ट-इंजेक्शन फिल्टर पर्याप्त नहीं होंगे। उपयोगी नियंत्रणों में शामिल हैं:

• स्रोतों की स्पष्ट पहचान: वेबपेज और टूल आउटपुट को सिस्टम निर्देशों तथा विश्वसनीय एप्लिकेशन डेटा से तकनीकी और दृश्य रूप से अलग रखा जाए।
• कोड-एक्जिक्यूशन पर नियंत्रण: बाहरी सामग्री को बिना सख्त नीति और सीमित सैंडबॉक्स के मनमाना डिक्रिप्शन या अन्य कोड चलाने की अनुमति न दी जाए।
• Least privilege: एजेंट को केवल उतने ही निजी संदर्भ तक पहुँच मिले जितना कार्य के लिए जरूरी है। सामान्य सारांश कार्य को असंबंधित सत्र डेटा पढ़ने की अनुमति नहीं होनी चाहिए।
• संवेदनशील कार्रवाइयों पर पुष्टि: उपयोगकर्ता या बातचीत के डेटा वाले नेटवर्क अनुरोध से पहले स्पष्ट और सार्थक अनुमति ली जाए।
• आउटबाउंड ट्रैफिक नियंत्रण: domain allowlist, proxy inspection और egress controls के जरिए एजेंट को मनमाने URL पर संदर्भ डेटा भेजने से रोका जाए।
• टूल-चेन की निगरानी: वेबपेज खोलने, कोड चलाने, संदर्भ डेटा निकालने और फिर बाहरी URL पर जाने जैसे असामान्य क्रम पर लॉगिंग और अलर्ट लागू हों।

केंद्रीय सबक सीधा है: किसी टूल से आया आउटपुट सिर्फ इसलिए भरोसेमंद नहीं हो जाता कि वह टूल के जरिए आया है। Grok के रिपोर्ट किए गए मामले में वेबपेज को डिक्रिप्शन और एक्जिक्यूशन की प्रक्रिया में बदलकर एजेंट की अपनी शक्तियों का इस्तेमाल निजी संदर्भ को सत्र से बाहर भेजने के लिए किया गया।