Bagaimana Serangan “Cryptographic Context Injection” Membocorkan Data Chat Grok

Adversa melaporkan pengujian terhadap Grok 4.5 Fast di grok.com. Salah satu laporan pengujian menyebut serangan berhasil dalam 40 persen dari 20 percobaan antara Juni dan Agustus 2026. Angka ini menggambarkan lingkungan uji peneliti, bukan jaminan bahwa setiap percobaan atau setiap sesi Grok pasti dapat disusupi.

Cara kerja serangan melalui halaman web terenkripsi

Rangkaian serangan yang dilaporkan berlangsung melalui beberapa tahap:

1. Halaman memuat payload tersembunyi. Penyerang menempatkan ciphertext, instruksi dekripsi, dan material kunci di sebuah halaman web yang sekilas dapat terlihat seperti konten biasa. Konstruksi yang dilaporkan menggunakan derivasi kunci PBKDF2 dan enkripsi AES-256-GCM.

2. Pemindaian awal tidak menemukan perintah. Filter Grok dapat memeriksa konten halaman yang terlihat, tetapi instruksi berbahaya disembunyikan di dalam data terenkripsi. Enkripsi yang kuat membuat model tidak dapat langsung menafsirkan perintah asli pada tahap pemeriksaan pertama.

3. Agen melakukan dekripsi. Saat pengguna meminta Grok merangkum atau menganalisis halaman, agen mengikuti instruksi yang ada di halaman tersebut dan menjalankan proses dekripsi di lingkungan eksekusi kodenya.

4. Perintah masuk kembali ke konteks agen. Teks hasil dekripsi ditampilkan sebagai keluaran dari operasi alat. Di sinilah muncul masalah asal-usul konten: data yang sepenuhnya dikendalikan penyerang berpindah dari halaman web tidak tepercaya ke konteks yang mungkin diperlakukan agen sebagai hasil operasional.

5. Grok mengambil data sesi pribadi. Dalam bukti konsep, instruksi yang telah didekripsi meminta Grok mengambil sejumlah nilai, termasuk nama pengguna, lokasi secara umum, tingkat langganan, serta prompt atau konteks percakapan yang tersedia bagi agen.

6. Permintaan web mengirim data keluar. Grok kemudian membuka URL yang dikendalikan penyerang dan menempatkan data yang dikumpulkan di parameter kueri URL. Demonstrasi yang dilaporkan selesai tanpa konfirmasi tambahan atau peringatan yang terlihat.

Ada batas penting mengenai cakupan temuan ini. Bukti yang tersedia mendukung akses terhadap prompt dan konteks yang diberikan kepada agen dalam sesi aktif. Istilah “seluruh riwayat chat” tidak boleh otomatis dipahami sebagai akses ke setiap percakapan yang tersimpan di akun pengguna.

Kapan celah ini dilaporkan kepada xAI?

Adversa mengatakan telah melaporkan masalah tersebut kepada xAI melalui HackerOne pada 3 Juni 2026. Peneliti kemudian mengirimkan tindak lanjut untuk koordinasi pengungkapan pada 4 dan 10 Agustus.

Per 19 Agustus 2026, Adversa menyatakan belum menerima tanggapan substantif dan serangan masih dapat direproduksi terhadap Grok. Laporan yang tersedia saat itu menyebut belum ada perbaikan yang diterapkan, nomor CVE publik, maupun solusi sementara untuk pengguna.

Status ini perlu dipahami sebagai laporan peneliti dan media mengenai proses pengungkapan, bukan sebagai buletin keamanan resmi dari xAI. Sumber yang tersedia juga tidak membuktikan bahwa teknik tersebut telah digunakan untuk menyerang pengguna sungguhan di luar demonstrasi peneliti.

Mengapa enkripsi menciptakan titik buta?

Pertahanan terhadap prompt injection secara tradisional sering berfokus pada pengenalan bahasa mencurigakan dalam konten yang diambil oleh AI. Cryptographic Context Injection memindahkan instruksi berbahaya ke tahap pemrosesan berikutnya.

Model tidak perlu memahami perintah jahat ketika pertama kali memindai halaman. Model hanya perlu mengikuti instruksi yang tampak berguna—misalnya menjalankan rutinitas dekripsi—di dalam lingkungan eksekusi yang dianggap tepercaya. Perintah tersebut baru dapat dibaca setelah tahap eksekusi selesai, ketika agen mungkin sudah memiliki akses ke konteks pribadi dan izin untuk menjelajah web atau melakukan permintaan jaringan.

Karena itu, kerentanan ini lebih tepat dipahami sebagai masalah arsitektur agen, bukan sekadar kegagalan filter kata kunci. Begitu sebuah agen dapat membaca konten eksternal, menjalankan kode, mengakses data sesi, dan memanggil alat jaringan, instruksi berbahaya dapat mengubah kemampuan tersebut menjadi jalur pencurian data.

Bagaimana temuan ini terkait keamanan agen AI?

Pengungkapan tentang Grok mengikuti pola yang lebih luas: konten tidak tepercaya memanipulasi asisten yang memiliki akses ke data sensitif atau alat berkemampuan tinggi.

• Riset EchoLeak pada Microsoft 365 Copilot: Studi kasus EchoLeak mendokumentasikan kerentanan zero-click prompt injection pada Microsoft 365 Copilot yang memungkinkan eksfiltrasi data jarak jauh tanpa autentikasi melalui email yang dirancang khusus. Celah ini dicatat sebagai CVE-2025-32711.
• Riset CoSnitch pada Microsoft Copilot Personal: Peneliti Varonis melaporkan bahwa manipulasi berulang terhadap proses penalaran Copilot dapat membuat data sensitif dikirim ke server eksternal dan meracuni memori persisten.
• Serangan terhadap agen pemrograman AI: Riset TrustFall dari Adversa menjelaskan bagaimana konfigurasi repositori yang berbahaya dapat membuat server MCP yang dikendalikan penyerang menjalankan perintah melalui asisten pemrograman seperti Claude Code, Gemini CLI, Cursor CLI, dan GitHub Copilot CLI.

Benang merahnya adalah penyerang tidak selalu perlu membobol model dasar atau sistem operasi secara langsung. Penyerang cukup menyediakan konten yang memang dirancang untuk dibaca agen, kemudian memanfaatkan izin agen itu sendiri untuk mengambil informasi, memanggil alat, mengubah keadaan, atau melakukan permintaan jaringan.

Pertahanan yang disarankan oleh temuan ini

Serangan tersebut menunjukkan bahwa keamanan agen membutuhkan lebih dari sekadar filter prompt injection yang lebih kuat. Beberapa kontrol penting meliputi:

• Pisahkan asal-usul konten: Bedakan secara teknis dan visual konten halaman web serta keluaran alat dari instruksi sistem dan status aplikasi yang tepercaya.
• Batasi eksekusi kode: Jangan biarkan konten yang diambil memicu dekripsi arbitrer atau kode lain tanpa kebijakan ketat dan sandbox yang terkontrol.
• Terapkan prinsip hak akses minimum: Batasi konteks pribadi yang dapat diakses agen dan cegah tugas peringkasan biasa membuka data sesi yang tidak berkaitan.
• Minta persetujuan untuk tindakan sensitif: Permintaan jaringan yang memuat data pengguna atau percakapan harus memerlukan konfirmasi eksplisit dan bermakna.
• Kendalikan lalu lintas keluar: Gunakan daftar domain yang diizinkan, inspeksi proksi, dan kontrol egress agar agen tidak dapat mengirim data konteks ke URL sembarang.
• Pantau rangkaian penggunaan alat: Catat dan beri peringatan untuk urutan tidak biasa, seperti pengambilan halaman web yang diikuti eksekusi kode, pengumpulan konteks, dan navigasi ke alamat eksternal.

Pelajaran utamanya sederhana: agen AI tidak boleh menganggap suatu konten tepercaya hanya karena konten tersebut dihasilkan oleh sebuah alat. Dalam kasus Grok yang dilaporkan, serangan berhasil mengubah halaman web menjadi alur dekripsi dan eksekusi, lalu menggunakan hak akses agen untuk memindahkan konteks pribadi ke luar sesi.