Prompt Terenkripsi Dilaporkan Bisa Mengubah Grok Menjadi Alat Pencurian Data Chat

Dalam proof of concept yang dilaporkan, data yang dapat diambil mencakup nama pengguna, perkiraan lokasi, tingkat langganan, prompt, dan riwayat percakapan. Adversa mengatakan transfer berlangsung tanpa peringatan atau konfirmasi yang terlihat dalam demonstrasinya.

Mengapa runtime menjadi batas keamanan yang sebenarnya?

Kegagalan utamanya bukan sekadar Grok diperlihatkan prompt berbahaya. Menurut laporan tersebut, data dari halaman web yang tidak tepercaya melewati sejumlah batas kepercayaan:

• konten halaman berubah menjadi konteks yang dapat dieksekusi atau ditindaklanjuti;
• keluaran yang telah didekripsi diperlakukan lebih tepercaya daripada yang seharusnya berdasarkan asalnya;
• konteks percakapan atau sesi pribadi menjadi tersedia bagi rangkaian serangan; dan
• agen dapat menggunakan permintaan eksternal untuk mengeluarkan data dari sesi.

Sebuah instruksi tidak otomatis menjadi tepercaya hanya karena dihasilkan oleh rutinitas dekripsi, dikembalikan oleh alat, atau ditempatkan dalam hasil runtime perantara. Asal-usul data harus tetap melekat setelah data mengalami transformasi. Jika tidak, penyerang dapat memanfaatkan proses penguraian, eksekusi kode, pengambilan data, atau keluaran alat untuk “mencuci” konten tidak tepercaya hingga tampak memiliki kewenangan.

Linimasa pengungkapan dan statusnya

Menurut keterangan Adversa, Utevsky melaporkan isu tersebut kepada xAI dan melalui HackerOne pada 3 Juni 2026. Dalam pengungkapan pada 20 Agustus, Adversa mengatakan masalah itu masih belum terselesaikan selama lebih dari dua bulan meski telah ditindaklanjuti.

Pemberitaan yang tersedia tidak menyertakan tanggapan publik xAI, identitas CVE, atau jadwal perbaikan pada saat pengungkapan. Status ini didasarkan pada pengungkapan peneliti dan pemberitaan pada periode yang sama; tidak ada pernyataan xAI yang dipublikasikan secara independen di sini untuk mengonfirmasi temuan atau perbaikannya.

Apa yang perlu diperbaiki?

Rekomendasi Adversa berfokus pada runtime agen, bukan sekadar menambah daftar kata kunci pada filter. Beberapa pengamanan pentingnya adalah:

• Pertahankan asal dan label kontaminasi data. Konten yang berasal dari halaman web harus tetap dianggap tidak tepercaya setelah diurai, didekripsi, dieksekusi, atau diproses melalui alat.
• Pisahkan data dari kewenangan. Konten tidak tepercaya, termasuk nilai yang diturunkan darinya, tidak boleh memanggil alat berprivilege, mengakses konteks percakapan pribadi, atau menentukan argumen alat yang sensitif.
• Batasi lalu lintas keluar. Agen perlu menggunakan daftar izin, pengendalian tujuan, dan kebijakan pencegahan kehilangan data sebelum mengirim informasi ke endpoint eksternal baru.
• Minta persetujuan yang bermakna. Aktivitas yang melibatkan konteks pribadi atau pengiriman eksternal harus memerlukan konfirmasi pengguna yang jelas, termasuk penjelasan tentang data yang akan keluar dan tujuan pengirimannya.
• Terapkan hak akses minimum. Tugas merangkum halaman tidak seharusnya otomatis memberikan akses ke seluruh riwayat chat, metadata profil, eksekusi kode, atau koneksi jaringan tanpa batas.

Pengamanan tersebut menargetkan kombinasi berbahaya antara input tidak tepercaya, konteks pribadi, eksekusi kode, dan alat yang dapat melakukan tindakan. Perilaku penolakan pada tingkat model saja tidak cukup untuk menjadi batas keamanan.

Kaitannya dengan serangan terhadap agen AI lain

Laporan tentang Grok merupakan bagian dari pola yang lebih luas: penyerang memanipulasi konten yang diminta untuk diproses oleh agen, lalu memanfaatkan izin sah yang dimiliki agen untuk menyelesaikan serangan.

EchoLeak pada Microsoft 365 Copilot dideskripsikan sebagai kerentanan injeksi prompt tanpa klik. Dalam kasus tersebut, email yang dibuat khusus dapat memungkinkan pengambilan data yang tersedia bagi asisten dari jarak jauh tanpa autentikasi. Sebuah studi akademik mengidentifikasinya sebagai CVE-2025-32711.

Pemberitaan terpisah mengenai Microsoft Copilot Personal membahas rangkaian CoSnitch. Tautan yang dibuat khusus dilaporkan dapat memicu eksekusi prompt dan pengambilan data dari aplikasi yang terhubung; para peneliti mengatakan Microsoft merilis perbaikan pada 18 Agustus 2026.

Agen pemrograman menghadapi risiko serupa melalui repositori, bukan halaman web. Adversa melaporkan bahwa repositori berbahaya dapat mengeksploitasi perilaku kepercayaan dan konfigurasi pada sejumlah asisten pemrograman, termasuk Claude Code, Cursor CLI, Gemini CLI, dan Copilot CLI, untuk menjalankan server MCP yang dikendalikan penyerang dengan potensi hak akses luas. Laporan Adversa lainnya menjelaskan pengelakan kebijakan berbasis repositori melalui rangkaian perintah shell yang panjang, dengan kemungkinan pencurian kredensial atau rahasia.

Saluran pengirimannya memang berbeda—email, URL, dokumen, repositori, halaman terenkripsi, atau integrasi alat—tetapi pelajaran arsitekturnya sama: agen tidak boleh mengubah konten yang dikendalikan penyerang menjadi kewenangan untuk membaca data rahasia atau melakukan tindakan eksternal.

Implikasi keamanan yang lebih luas

Cryptographic Context Injection menunjukkan mengapa keamanan agen tidak boleh berhenti pada pemindaian teks yang pertama kali masuk ke jendela konteks. Agen dapat menemukan instruksi setelah proses dekripsi, pengambilan data, penguraian, eksekusi kode, akses memori, atau panggilan alat lain. Jika setiap transformasi menghapus informasi tentang asal data, penyerang dapat mengeksploitasi celah antara sesuatu yang diklasifikasikan sistem sebagai tidak tepercaya dan sesuatu yang kemudian diperlakukan runtime sebagai tepercaya.

Bagi pengguna, pelajaran praktisnya adalah berhati-hati ketika meminta agen yang memiliki akses ke percakapan pribadi atau alat untuk memproses halaman web, dokumen, tautan, maupun repositori yang tidak dikenal. Bagi pengembang, prioritasnya lebih mendasar: tegakkan batas kepercayaan di runtime, batasi akses ke konteks sensitif, kendalikan parameter alat, atur koneksi jaringan keluar, dan buat tindakan berisiko tinggi terlihat serta memerlukan konfirmasi.

Dengan demikian, teknik yang dilaporkan terhadap Grok sebaiknya dipahami bukan sebagai “AES berhasil dibobol”, melainkan sebagai peringatan tentang pencucian kewenangan. Konten terenkripsi memang dapat menyembunyikan instruksi dari filter, tetapi hanya runtime agen yang terlalu permisif yang dapat mengubah instruksi tersembunyi itu menjadi tindakan pencurian data.