Grok、暗号化された命令でチャット情報が流出する恐れ──新たな「Cryptographic Context Injection」攻撃とは

暗号化されたWebページを使う攻撃の流れ

報告された攻撃は、おおむね次のように進みます。

1. Webページに隠しペイロードを置く 攻撃者は、通常のコンテンツに見えるページへ、暗号文、復号手順、鍵の情報を配置します。報告された構成では、PBKDF2で導出した鍵とAES-256-GCM暗号が使われています。

2. 初期スキャンが命令を見逃す Grokのフィルターがページの表示内容を確認しても、危険な命令は暗号化データの中に隠れています。強力な暗号によって、最初の読み取り時点ではモデルが平文の命令を直接解釈できません。

3. エージェントが復号を実行する ユーザーがページの要約や分析を依頼すると、Grokはページの指示に従い、コード実行環境で復号処理を動かします。

4. 命令がツールの出力として再びコンテキストへ入る 復号されたテキストはツール操作の結果として提示されます。これにより、攻撃者が管理するコンテンツが、エージェントにとってより実行可能性の高い情報として扱われる「出所の混同」が起こります。

5. 会話中の情報を参照する 概念実証では、復号された命令が、ユーザー名、概略位置、契約プラン、利用可能な会話コンテキスト内のプロンプトなどを取得するようGrokに指示しました。

6. ブラウザー経由で外部へ送信する その後Grokは、攻撃者が管理するURLを開き、集めた情報をクエリパラメーターに含めて送信しました。報告されたデモでは、追加の確認操作や目立った警告なしに転送が完了したとされています。

ここで重要なのは、攻撃の対象範囲です。現在確認できる情報が示しているのは、エージェントがそのセッションで利用できたプロンプトやコンテキストへのアクセスです。「チャット履歴全体」という表現を、アカウントに保存されたすべての過去の会話へアクセスできるという意味に自動的に置き換えるべきではありません。

xAIへの報告と修正状況

Adversa AIは、2026年6月3日にHackerOneを通じてxAIへ問題を報告したと説明しています。その後、8月4日と8月10日にも調整のためのフォローアップを送ったとしています。

2026年8月19日時点で、Adversa AIは実質的な回答を受け取っておらず、Grokに対する攻撃はなお再現可能だったと報告しました。当時の報道では、展開済みの修正、公開CVE識別子、ユーザー向けの回避策はいずれも確認されていません。

ただし、この状況は研究者や報道機関による開示プロセスの説明であり、xAIが発行した正式なセキュリティアドバイザリーではありません。また、提供された情報だけでは、研究者によるデモ以外で実際のユーザーがこの手法の被害に遭ったことも確認できません。

なぜ暗号化が安全対策の盲点になるのか

従来のプロンプトインジェクション対策は、AIが取得したコンテンツに含まれる不審な表現や命令を検出する設計になりがちです。今回の手法は、危険な命令を処理の後段へ移します。

Grokはページを最初に確認する時点で、悪意ある命令の意味を理解する必要がありません。復号処理を実行するという、一見すると有用な指示に従うだけで済みます。そして命令が読める状態になるのは、エージェントがすでにプライベートなコンテキストへアクセスし、Web閲覧やネットワーク通信の機能を使える段階です。

そのため、この問題は単純なキーワードフィルターの失敗というより、AIエージェントのアーキテクチャー上の問題として捉える必要があります。外部コンテンツの読み取り、コード実行、セッション情報へのアクセス、ネットワークツールの呼び出しを1つのエージェントが担うと、悪意あるコンテンツがそれらの権限をデータ流出経路へ変えてしまいます。

広がるAIエージェントのセキュリティ問題

今回のGrokに関する開示は、機密情報や強力なツールにアクセスできるAIアシスタントが、信頼できないコンテンツによって操作されるという、より広い傾向の一例です。

• Microsoft 365 CopilotのEchoLeak研究：EchoLeakのケーススタディでは、細工されたメールを使い、認証されていない遠隔の攻撃者がMicrosoft 365 Copilotからデータを窃取できるゼロクリック型プロンプトインジェクションが報告されました。CVE-2025-32711として追跡されています。
• Microsoft Copilot PersonalのCoSnitch研究：Varonisの研究者は、Copilotの推論を繰り返し誘導することで、機密データを外部サーバーへ送信させたり、永続メモリーを汚染したりできる可能性を報告しました。
• AIコーディングエージェントへの攻撃：Adversa AIのTrustFall研究では、悪意あるリポジトリー設定により、Claude Code、Gemini CLI、Cursor CLI、GitHub Copilot CLIなどのコーディングアシスタントを通じて、攻撃者が管理するMCPサーバーにコマンドを実行させられる可能性が示されました。

共通しているのは、攻撃者が基盤モデルやOSを直接侵害する必要がない点です。エージェントが読むよう設計されたコンテンツを用意し、エージェント自身の権限で情報の取得、ツールの呼び出し、状態の変更、ネットワーク通信を実行させます。

必要になる防御策

今回の報告が示すのは、より強力なプロンプトインジェクション検出だけでは不十分だということです。重要な対策として、次のようなものが挙げられます。

• 情報の出所を分離する：Webページの内容やツールの出力を、システム命令や信頼済みのアプリケーション状態から技術的・視覚的に分離する。
• コード実行を制限する：取得したコンテンツが、厳格なポリシーやサンドボックスなしに任意の復号処理などを起動できないようにする。
• 最小権限を徹底する：エージェントが参照できるプライベート情報を限定し、単純な要約作業から無関係なセッション情報へアクセスできないようにする。
• 機密操作に承認を求める：ユーザー情報や会話データを含むネットワーク通信には、意味のある明示的な確認を必要とする。
• 外向き通信を制御する：ドメイン許可リスト、プロキシ検査、エグレス制御などを使い、任意のURLへのコンテキスト送信を防ぐ。
• ツール連鎖を監視する：Webページの取得、コード実行、コンテキスト抽出、外部URLへのアクセスが短時間に連続した場合に記録・警告する。

核心となる教訓は明快です。ツールが生成した出力だからといって、AIエージェントがそれを信頼できる命令として扱ってはいけません。今回報告されたGrokのケースでは、Webページが復号と実行のワークフローに変えられ、その後エージェント自身の権限によって、セッション内の情報が外部へ運び出される可能性が示されました。