Kryptert prompt-injeksjon kan gjøre Grok til et verktøy for datatyveri

Adversa AI-forskeren Rony Utevsky har rapportert en såkalt «zero-click»-metode for indirekte prompt-injeksjon mot Groks nettbaserte agent. I scenarioet trenger brukeren bare å be Grok oppsummere eller analysere en nettside som angriperen kontrollerer. Nettsiden skjuler instruksjonene som krypterte data, før Grok ifølge rapporten lures til å dekryptere og behandle dem i sitt eget kjøremiljø.

Konsekvensen kan være alvorlig: Den dekrypterte nyttelasten kan instruere agenten til å hente privat øktinformasjon og legge den inn i en forespørsel til en ekstern server. Dokumentasjonen kommer først og fremst fra Adversa AI og omtale av selskapets funn. Dette bør derfor forstås som et rapportert «proof of concept», ikke som et uavhengig bekreftet funn fra xAI.

Hva «Cryptographic Context Injection» endrer

Vanlige forsvar mot prompt-injeksjon forsøker gjerne å finne mistenkelige instrukser i teksten som modellen mottar. Metoden Adversa beskriver, forsøker å flytte skadeinstruksjonene ut av denne kontrollen ved å legge dem på nettsiden som kryptotekst.

Ifølge Adversa inneholder siden en JSON-nyttelast kryptert med AES-256-GCM, nøkkelmateriale og instrukser som oppmuntrer Grok til å kjøre dekrypteringskode i Python- eller sandkassemiljøet sitt.

Dette er ikke et angrep på selve AES-algoritmen. Krypteringen brukes som en omgåelsesteknikk: Et innholdsfilter kan se uforståelig kryptotekst, mens agenten senere har verktøyene som trengs for å gjøre teksten om til handlingsinstrukser.

Forskjellen er viktig. Å filtrere synlig tekst er ikke det samme som å kontrollere hva en agent får lov til å gjøre etter at den har tolket, dekryptert, kjørt eller hentet data fra en upålitelig kilde.

Slik skal angrepskjeden ha fungert

På et overordnet nivå består den rapporterte kjeden av fire trinn:

1. En ondsinnet nettside ser tilsynelatende normal ut. Brukeren ber Grok oppsummere eller analysere innholdet.
2. Nettsiden leverer kryptert innhold og veiledning for dekryptering. Adversa sier nyttelasten bruker AES-256-GCM med en PBKDF2-avledet nøkkel, slik at hovedinstruksjonene forblir skjult under den første innholdsanalysen.
3. Grok kjører den oppgitte dekrypteringslogikken. Den klare teksten skal dukke opp gjennom modellens kode- eller verktøykjede, og ikke som synlig tekst fra den opprinnelige nettsiden. Adversa sier at Grok deretter behandler resultatet som pålitelig kontekst.
4. Nyttelasten styrer agentens neste handling. Instruksjonene skal få Grok til å finne private øktdetaljer, sette dem inn i en URL og åpne URL-en. Dermed kan informasjonen sendes til et angriperstyrt endepunkt.

I Adversas demonstrasjon skal nyttelasten ha inkludert brukerens navn, omtrentlige posisjon, abonnementstype, spørsmål og samtalehistorikk. Selskapet opplyste at overføringen skjedde uten et synlig varsel eller en bekreftelse fra brukeren.

Den egentlige sikkerhetsgrensen ligger i kjøremiljøet

Kjerneproblemet er derfor ikke bare at Grok ble vist en ondsinnet prompt. Det er at innhold fra en upålitelig nettside angivelig fikk krysse flere tillitsgrenser:

• nettsideinnhold ble til kjørbar eller handlingsutløsende kontekst;
• dekryptert innhold ble behandlet som mer pålitelig enn opphavet tilsier;
• privat samtale- eller øktkontekst ble tilgjengelig for angrepskjeden; og
• agenten kunne bruke en ekstern forespørsel til å flytte data ut av økten.

En instruksjon blir ikke automatisk pålitelig fordi den kommer fra en dekrypteringsrutine, et verktøy eller et mellomresultat i kjøremiljøet. Systemet må ta vare på informasjon om hvor dataene stammer fra, også etter slike transformasjoner.

Hvis denne opprinnelsen går tapt, kan angripere bruke tolking, kodekjøring, søk eller verktøyresultater til å «vaske» upålitelig innhold om til noe som ser autoritativt ut.

Når ble funnet meldt, og hva er status?

Ifølge Adversas egen redegjørelse rapporterte Utevsky problemet til xAI og gjennom HackerOne 3. juni 2026. I redegjørelsen fra 20. august skrev Adversa at saken hadde stått uløst i mer enn to måneder, til tross for oppfølginger.

Den tilgjengelige omtalen inneholdt på dette tidspunktet ikke noe offentlig svar fra xAI, noen CVE-identifikator, en offentliggjort sikkerhetsoppdatering eller en tidsplan for utbedring. Denne statusen bygger på forskerens redegjørelse og samtidig mediedekning; det er ikke lagt frem noen uavhengig publisert uttalelse fra xAI som bekrefter funnet eller en eventuell retting.

Hva bør endres?

Adversas anbefalinger handler først og fremst om agentens kjøremiljø – ikke om å legge til enda flere søkeord i et promptfilter. De viktigste tiltakene er:

• Bevar opprinnelse og «taint»-merking. Innhold fra en nettside må fortsatt regnes som upålitelig etter tolking, dekryptering, kodekjøring eller verktøybruk.
• Skill mellom data og autoritet. Upålitelig innhold, og verdier som er avledet fra det, bør ikke kunne bruke privilegerte verktøy, lese private samtaler eller bestemme sensitive verktøyparametere.
• Begrens utgående trafikk. Agenten bør bruke tillatte lister, destinasjonskontroll og regler mot datalekkasjer før informasjon sendes til et nytt eksternt endepunkt.
• Krev meningsfullt samtykke. Handlinger som berører privat kontekst eller ekstern dataoverføring, bør kreve en tydelig bekreftelse som forklarer hvilke data som sendes, og hvor de skal.
• Bruk minste privilegium. En oppgave som bare skal oppsummere en nettside, bør ikke automatisk gi tilgang til full samtalehistorikk, profilinformasjon, kodekjøring eller et frittgående nettverk.

Tiltakene retter seg mot den farlige kombinasjonen av upålitelig input, privat kontekst, kodekjøring og verktøy som kan utføre handlinger. Modellens egen evne til å avvise instrukser er alene ikke en tilstrekkelig sikkerhetsgrense.

Del av et større mønster

Grok-funnet føyer seg inn i et bredere mønster der angripere manipulerer innholdet en agent skal behandle, og deretter utnytter agentens legitime tilganger til å fullføre angrepet.

Microsoft 365 Copilot-angrepet EchoLeak er beskrevet som en «zero-click»-sårbarhet for prompt-injeksjon. En spesiallaget e-post kunne ifølge forskere muliggjøre ekstern, uautentisert uthenting av data som assistenten hadde tilgang til. En akademisk gjennomgang knytter saken til CVE-2025-32711.

Separat omtale av Microsoft Copilot Personal beskrev CoSnitch-kjeden, der en spesiallaget lenke kunne utløse promptkjøring og hente ut data fra tilkoblede apper. Forskerne opplyste at Microsoft sendte ut oppdateringer 18. august 2026.

Kodeagenter har en tilsvarende risiko, men der er det ofte kodearkiver og prosjektfiler som fungerer som angrepsflate. Adversa rapporterte at ondsinnede arkiver kunne utnytte tillits- og konfigurasjonsmekanismer i flere kodeassistenter, blant annet Claude Code, Cursor CLI, Gemini CLI og Copilot CLI, til å kjøre angriperstyrte MCP-servere med potensielt omfattende tilganger. En annen Adversa-rapport beskrev en omgåelse av sikkerhetspolicyer i et arkiv, basert på lange kjeder av skallkommandoer, med mulig tyveri av passord og hemmeligheter.

Leveringsmåten varierer – e-post, lenke, dokument, kodearkiv, kryptert nettside eller verktøyintegrasjon – men lærdommen er den samme: En agent må ikke gjøre angriperkontrollert innhold om til tillatelse til å lese konfidensielle data eller utføre handlinger utenfor økten.

Den større sikkerhetsbetydningen

«Cryptographic Context Injection» viser hvorfor sikkerheten rundt AI-agenter ikke kan stoppe ved å skanne teksten som først kommer inn i kontekstvinduet. En agent kan møte instrukser etter dekryptering, innhenting, tolking, kodekjøring, minnetilgang eller et annet verktøykall.

Dersom hver transformasjon fjerner informasjonen om datakilden, kan en angriper utnytte avstanden mellom det systemet først klassifiserer som upålitelig, og det kjøremiljøet senere behandler som pålitelig.

For brukere er den praktiske lærdommen å være forsiktig når en agent med tilgang til private samtaler eller verktøy skal behandle ukjente nettsider, dokumenter, lenker eller kodearkiver. For utviklere er kravet større: Tillitsgrenser må håndheves i kjøremiljøet, tilgangen til sensitiv kontekst må begrenses, verktøyparametere må kontrolleres, utgående nettverkstrafikk må styres, og handlinger med stor konsekvens må være synlige og kreve bekreftelse.

Den rapporterte Grok-metoden handler dermed ikke om å «knekke AES». Den er en advarsel om hvordan autoritet kan snikes inn gjennom systemet. Kryptert innhold kan skjule en instruksjon for et filter, men bare et for tillitsfullt agentmiljø kan gjøre den skjulte instruksjonen om til en handling som stjeler data.