Serangan ‘Cryptographic Context Injection’ Dilaporkan Boleh Membocorkan Data Sembang Grok

Bukti konsep yang dilaporkan Adversa AI merangkumi nama pengguna, lokasi anggaran, tahap langganan, gesaan serta sejarah perbualan. Syarikat itu berkata pemindahan tersebut berlaku tanpa amaran atau pengesahan yang jelas dalam demonstrasinya.

Mengapa runtime menjadi sempadan keselamatan sebenar

Kegagalan utama bukan semata-mata kerana Grok terdedah kepada arahan berniat jahat. Isunya ialah data daripada halaman web yang tidak dipercayai dilaporkan berjaya merentasi beberapa sempadan kepercayaan:

• kandungan halaman web menjadi konteks yang boleh dilaksanakan atau diambil tindakan;
• output yang telah dinyahsulit dianggap lebih dipercayai daripada asal-usulnya;
• konteks perbualan atau sesi peribadi tersedia kepada rantaian serangan; dan
• ejen boleh menggunakan permintaan luaran untuk mengeluarkan data daripada sesi.

Arahan tidak menjadi dipercayai hanya kerana ia dihasilkan oleh rutin penyahsulitan, dipulangkan oleh alat atau diletakkan dalam hasil runtime perantaraan. Asal-usul data perlu kekal dikenal pasti selepas setiap perubahan tersebut. Jika tidak, penyerang boleh menggunakan proses penghuraian, pelaksanaan kod, pengambilan data atau output alat untuk menyamarkan kandungan tidak dipercayai sehingga kelihatan seperti arahan berautoriti.

Garis masa pendedahan dan status

Menurut akaun Adversa AI, Utevsky melaporkan isu itu kepada xAI dan melalui HackerOne pada 3 Jun 2026. Dalam pendedahan bertarikh 20 Ogos, Adversa AI berkata isu tersebut masih belum diselesaikan selepas lebih dua bulan walaupun tindakan susulan telah dibuat.

Laporan yang tersedia tidak menyertakan maklum balas awam xAI, pengenal CVE, tampalan atau jadual masa pemulihan pada ketika pendedahan itu dibuat. Status ini berdasarkan pendedahan penyelidik dan laporan semasa; tiada kenyataan xAI yang diterbitkan secara bebas untuk mengesahkan penemuan atau pemulihannya disertakan di sini.

Apakah yang patut dibaiki?

Cadangan Adversa AI memberi tumpuan kepada runtime ejen, bukan sekadar menambah lebih banyak penapis kata kunci. Kawalan paling penting termasuk:

• Kekalkan asal-usul dan label taint. Kandungan yang datang daripada halaman web perlu kekal tidak dipercayai selepas dihuraikan, dinyahsulit, dilaksanakan atau diproses oleh alat.
• Asingkan data daripada autoriti. Kandungan yang tidak dipercayai dan nilai yang terhasil daripadanya tidak sepatutnya boleh memanggil alat berkeistimewaan tinggi, mengakses konteks perbualan peribadi atau menentukan hujah alat yang sensitif.
• Hadkan trafik keluar. Ejen perlu menggunakan senarai benarkan, kawalan destinasi dan dasar pencegahan kehilangan data sebelum menghantar maklumat ke titik akhir luaran yang baharu.
• Minta persetujuan yang bermakna. Permintaan yang melibatkan konteks peribadi atau penghantaran luaran perlu memerlukan pengesahan pengguna yang jelas, termasuk penerangan tentang data yang akan meninggalkan sesi dan destinasi penghantarannya.
• Gunakan prinsip keistimewaan minimum. Tugasan meringkaskan kandungan tidak sepatutnya memberikan akses automatik kepada keseluruhan sejarah sembang, metadata profil, pelaksanaan kod atau rangkaian tanpa had.

Kawalan ini menangani gabungan berbahaya antara input tidak dipercayai, konteks peribadi, pelaksanaan kod dan alat yang mampu mengambil tindakan. Tingkah laku penolakan pada peringkat model sahaja bukan sempadan keselamatan yang mencukupi.

Perbandingan dengan serangan ejen AI lain

Laporan mengenai Grok ini sebahagian daripada corak lebih besar: penyerang memanipulasi kandungan yang diminta untuk diproses oleh ejen, kemudian memanfaatkan kebenaran sah yang dimiliki ejen itu untuk melengkapkan serangan.

EchoLeak pada Microsoft 365 Copilot diterangkan sebagai kelemahan suntikan arahan tanpa klik. E-mel yang direka khas boleh membolehkan pengeluaran data yang tersedia kepada pembantu tersebut dari jauh tanpa pengesahan. Satu kajian akademik mengenal pastinya sebagai CVE-2025-32711.

Laporan berasingan mengenai Microsoft Copilot Personal pula menerangkan rantaian CoSnitch. Pautan yang direka khas boleh mencetuskan pelaksanaan arahan dan pengeluaran data daripada aplikasi yang disambungkan; penyelidik berkata Microsoft mengeluarkan tampalan pada 18 Ogos 2026.

Ejen pengekodan menghadapi risiko yang serupa melalui repositori, bukannya halaman web. Adversa AI melaporkan bahawa repositori berniat jahat boleh mengeksploitasi tingkah laku kepercayaan dan konfigurasi dalam beberapa pembantu pengekodan, termasuk Claude Code, Cursor CLI, Gemini CLI dan Copilot CLI, untuk menjalankan pelayan MCP yang dikawal penyerang dengan keistimewaan yang berpotensi luas. Laporan Adversa AI yang lain pula menerangkan pintasan dasar berasaskan repositori melibatkan rantaian arahan shell yang panjang serta kemungkinan kecurian kelayakan atau rahsia.

Mekanisme penghantaran mungkin berbeza—e-mel, URL, dokumen, repositori, halaman web terenkripsi atau integrasi alat—namun pengajaran seni binanya sama: ejen tidak sepatutnya menukar kandungan yang dikawal penyerang menjadi kebenaran untuk membaca data sulit atau mengambil tindakan luaran.

Implikasi keselamatan yang lebih luas

Cryptographic Context Injection menunjukkan mengapa keselamatan ejen tidak boleh berhenti pada pengimbasan teks yang mula-mula memasuki tetingkap konteks. Ejen mungkin menemui arahan selepas penyahsulitan, pengambilan data, penghuraian, pelaksanaan kod, akses memori atau panggilan alat lain. Jika setiap perubahan menyebabkan asal-usul data hilang, penyerang boleh mengeksploitasi jurang antara perkara yang diklasifikasikan sistem sebagai tidak dipercayai dengan perkara yang kemudiannya dianggap dipercayai oleh runtime.

Bagi pengguna, pengajarannya mudah: berhati-hati apabila meminta ejen yang mempunyai akses kepada perbualan peribadi atau alat untuk memproses halaman web, dokumen, pautan atau repositori yang tidak dikenali. Bagi pembangun, keutamaannya lebih besar—kuatkuasakan sempadan kepercayaan dalam runtime, hadkan akses kepada konteks sensitif, kekang parameter alat, kawal sambungan rangkaian keluar dan jadikan tindakan berimpak tinggi kelihatan serta memerlukan pengesahan.

Teknik Grok yang dilaporkan ini lebih tepat difahami bukan sebagai “pemecahan AES”, tetapi sebagai amaran tentang penyamaran autoriti. Kandungan terenkripsi mungkin menyembunyikan arahan daripada penapis, namun hanya runtime ejen yang terlalu longgar boleh menukarkan arahan tersembunyi itu menjadi tindakan mencuri data.