Hoe een gewone webpagina Grok volgens onderzoekers chatgegevens kan laten lekken

In de proof of concept van Adversa werden volgens het bedrijf onder meer de naam van de gebruiker, een geschatte locatie, het abonnementsniveau, prompts en gespreksgeschiedenis opgenomen. In de demonstratie zou de overdracht zijn voltooid zonder zichtbare waarschuwing of bevestigingsstap.

De runtime is de echte beveiligingsgrens

De kern van het probleem is niet alleen dat Grok een kwaadaardige prompt te zien krijgt. Volgens de melding zou inhoud van een onbetrouwbare webpagina meerdere vertrouwensgrenzen overschrijden:

• webinhoud wordt uitvoerbare of actiegerichte context;
• ontsleutelde uitvoer krijgt meer vertrouwen dan de herkomst rechtvaardigt;
• privégesprekken of sessiecontext komen binnen bereik van de aanvalsketen; en
• de agent kan een extern verzoek gebruiken om gegevens uit de sessie te verplaatsen.

Een instructie wordt niet automatisch betrouwbaar omdat die uit een ontsleutelingsroutine komt, door een tool is teruggegeven of als tussenresultaat in een runtime verschijnt. De herkomst van gegevens moet ook na zulke transformaties zichtbaar blijven. Anders kunnen parsing, code-uitvoering, retrieval of tooluitvoer onbetrouwbare inhoud laten lijken op gezaghebbende instructies.

Melding aan xAI en huidige status

Volgens de verklaring van Adversa meldde Utevsky het probleem op 3 juni 2026 aan xAI en via HackerOne, het bugbountyplatform waarop beveiligingsonderzoekers kwetsbaarheden kunnen rapporteren. In de openbaarmaking van 20 augustus schreef Adversa dat de kwestie ondanks opvolgingen al meer dan twee maanden niet was opgelost.

De beschikbare berichtgeving bevatte op dat moment geen openbare reactie van xAI, CVE-identificatienummer of tijdschema voor herstel. Die status is gebaseerd op de melding van de onderzoeker en berichtgeving uit dezelfde periode; er is hier geen onafhankelijk gepubliceerde verklaring van xAI beschikbaar die de bevinding of een oplossing bevestigt.

Welke maatregelen zijn nodig?

Adversa richt zijn aanbevelingen vooral op de agentruntime, niet op nog meer trefwoordfilters:

• Behoud herkomst- en vertrouwenslabels. Inhoud die van een webpagina afkomstig is, moet onbetrouwbaar blijven na parsing, ontsleuteling, code-uitvoering of toolgebruik.
• Scheid data van bevoegdheden. Onbetrouwbare inhoud en waarden die daaruit zijn afgeleid, mogen geen bevoorrechte tools aanroepen, privégesprekken inzien of gevoelige toolparameters bepalen.
• Beperk uitgaand netwerkverkeer. Gebruik allowlists, bestemmingscontroles en beleid ter voorkoming van gegevensverlies voordat een agent informatie naar een nieuw extern endpoint stuurt.
• Vraag om betekenisvolle toestemming. Acties waarbij privécontext of externe overdracht betrokken zijn, moeten een duidelijke bevestiging vereisen. Die moet uitleggen welke gegevens de sessie verlaten en waar ze naartoe gaan.
• Pas minimale toegangsrechten toe. Een samenvattingstaak zou niet automatisch toegang moeten geven tot de volledige chatgeschiedenis, profielgegevens, code-uitvoering of onbeperkte netwerktoegang.

Deze maatregelen pakken de gevaarlijke combinatie aan van onbetrouwbare invoer, privécontext, code-uitvoering en tools die zelfstandig acties kunnen uitvoeren. Alleen vertrouwen op weigergedrag van het model is geen voldoende beveiligingsgrens.

Verwantschap met andere aanvallen op AI-agenten

De gemelde Grok-techniek past in een breder patroon: aanvallers manipuleren de inhoud die een agent moet verwerken en misbruiken vervolgens de legitieme toegangsrechten van die agent.

Bij EchoLeak in Microsoft 365 Copilot zou een speciaal opgesteld e-mailbericht een externe, niet-geauthenticeerde aanvaller in staat hebben gesteld gegevens te exfiltreren waartoe de assistent toegang had. Een academische casestudy koppelt deze kwestie aan CVE-2025-32711.

Losse berichtgeving over Microsoft Copilot Personal beschreef de keten CoSnitch. Daarin zou een speciaal gemaakte link promptuitvoering en gegevensdiefstal uit gekoppelde applicaties kunnen veroorzaken. Onderzoekers meldden dat Microsoft op 18 augustus 2026 patches uitbracht.

Ook programmeerassistenten lopen een vergelijkbaar risico, maar daar vormen repositories de belangrijkste aanvoerroute. Adversa meldde dat kwaadaardige repositories gebruik konden maken van vertrouwens- en configuratiegedrag in onder meer Claude Code, Cursor CLI, Gemini CLI en Copilot CLI om MCP-servers van aanvallers met mogelijk ruime rechten te starten. In een ander rapport beschreef Adversa een beleidsomzeiling via lange ketens van shellopdrachten, met mogelijke diefstal van inloggegevens of geheimen.

Het afleveringsmechanisme verschilt — e-mail, URL, document, repository, versleutelde webpagina of toolintegratie — maar de architecturale les blijft dezelfde: een agent mag door aanvaller gecontroleerde inhoud niet omzetten in toestemming om vertrouwelijke gegevens te lezen of externe acties uit te voeren.

De bredere betekenis voor AI-beveiliging

Cryptographic Context Injection laat zien waarom agentbeveiliging niet mag stoppen bij het scannen van de tekst die als eerste in het contextvenster terechtkomt. Instructies kunnen ook verschijnen na ontsleuteling, retrieval, parsing, code-uitvoering, geheugentoegang of een andere toolaanroep. Als elke transformatie de oorsprong van de gegevens uitwist, ontstaat er een kloof tussen wat het systeem aanvankelijk als onbetrouwbaar aanmerkt en wat de runtime later als vertrouwd behandelt.

Voor gebruikers is de praktische les eenvoudig: wees voorzichtig wanneer je een agent met toegang tot privégesprekken of tools vraagt om onbekende webpagina’s, documenten, links of repositories te verwerken. Voor ontwikkelaars ligt de prioriteit hoger: leg vertrouwensgrenzen in de runtime af, beperk toegang tot gevoelige context, beperk toolparameters, controleer uitgaand netwerkverkeer en maak ingrijpende acties zichtbaar en bevestigbaar.

De gemelde Grok-techniek is daarom beter te begrijpen als een waarschuwing voor het witwassen van bevoegdheden dan als het kraken van AES. Versleutelde inhoud kan een instructie verbergen voor een filter, maar alleen een te ruimhartige agentruntime kan die verborgen instructie veranderen in een actie waarbij gegevens worden gestolen.