En skadelig nettside inneholder en kryptert instruksjonspakke sammen med informasjonen som trengs for å dekryptere den. Når Grok først leser siden, ser prompt-injection-forsvaret kryptert tekst – ikke den lesbare kommandoen. Deretter lures agenten til å kjøre en dekrypteringsrutine i Python- eller kodekjøringssandkassen. Den dekrypterte kommandoen kommer tilbake til modellen som resultatet av et verktøykall, noe agenten kan behandle annerledes enn en upålitelig instruksjon som står direkte på nettsiden.

Adversa oppga at teknikken ble testet mot Grok 4.5 Fast på grok.com. En separat omtale av testingen sa at angrepet lyktes i 40 prosent av 20 forsøk mellom juni og august 2026. Dette beskriver forskernes testmiljø – ikke en garanti for at hvert forsøk eller hver Grok-økt ville bli kompromittert.

Slik fungerer angrepet via en kryptert nettside

Den rapporterte angrepskjeden består av flere trinn:

1. Nettsiden inneholder den skjulte nyttelasten. Angriperen legger kryptert tekst, dekrypteringsinstrukser og nøkkelmateriale på en nettside som ellers kan se ut som vanlig innhold. Konstruksjonen som er omtalt, bruker nøkkelavledning med PBKDF2 og AES-256-GCM-kryptering.

2. Den første skanningen finner ikke kommandoen. Groks filtre kan undersøke det synlige innholdet på siden, men den farlige instruksen ligger skjult i krypterte data. Sterk kryptering gjør at modellen ikke kan tolke kommandoens klartekst i den første gjennomgangen.

3. Agenten dekrypterer innholdet. Når brukeren ber Grok oppsummere eller analysere siden, følger agenten instruksjonene der og kjører dekrypteringen i kodekjøringsmiljøet.

4. Kommandoen kommer tilbake i agentens kontekst. Den dekrypterte teksten presenteres som resultatet av en verktøyoperasjon. Dermed oppstår et problem med opphav og tillit: Angriperstyrt innhold har flyttet seg fra en upålitelig nettside til en kontekst agenten kan oppfatte som et operativt resultat.

5. Grok henter private sesjonsdata. I konseptbeviset ba de dekrypterte instruksene Grok hente verdier som brukerens navn, omtrentlige posisjon, abonnementstype og promptene i den tilgjengelige samtalekonteksten.

6. En nettleserforespørsel sender dataene ut. Grok åpnet deretter en URL kontrollert av angriperen og la de innsamlede verdiene inn i URL-ens spørringsparametre. I den rapporterte demonstrasjonen skjedde dette uten en ekstra bekreftelse eller et synlig varsel.

Det er likevel viktig å avgrense hva dokumentasjonen viser. Det tilgjengelige materialet støtter tilgang til promptene og konteksten som agenten hadde tilgjengelig i den aktive økten. Når omtaler snakker om «full chatthistorikk», bør det derfor ikke automatisk tolkes som tilgang til alle samtaler som er lagret på brukerens konto.

Når ble feilen meldt til xAI?

Adversa sier at problemet ble meldt til xAI gjennom HackerOne 3. juni 2026. Forskerne sendte deretter oppfølgingsmeldinger for koordinering 4. og 10. august.

Per 19. august 2026 oppga Adversa at selskapet ikke hadde fått noe substansielt svar, og at angrepet fortsatt kunne gjenskapes mot Grok. Omtalen som var tilgjengelig på det tidspunktet, beskrev problemet som uten en utrullet feilretting, offentlig CVE-identifikator eller løsning for brukerne.

Statusen bør forstås som en beskrivelse fra forskerne og mediene av rapporteringsprosessen – ikke som en offentlig sikkerhetsmelding fra xAI. Det tilgjengelige materialet fastslår heller ikke at teknikken er blitt brukt mot reelle brukere utenfor forskernes demonstrasjoner.

Hvorfor skaper kryptering en blindflekk?

Tradisjonelle forsvar mot prompt injection forsøker ofte å oppdage mistenkelig språk i innholdet et AI-system henter inn. Cryptographic Context Injection flytter den farlige instruksen til et senere trinn i behandlingen.

Modellen trenger ikke å forstå den skadelige kommandoen når den først skanner nettsiden. Den trenger bare å følge en tilsynelatende nyttig instruks – for eksempel å kjøre en dekrypteringsrutine – i et miljø den stoler på. Kommandoen blir lesbar etter kjøringen, når agenten allerede kan ha tilgang til privat kontekst og tillatelse til å surfe eller sende nettverksforespørsler.

Derfor er dette først og fremst et arkitekturproblem for AI-agenter, ikke bare et mislykket søk etter bestemte nøkkelord. Når en agent kan lese eksternt innhold, kjøre kode, hente sesjonsdata og bruke nettverktøy, kan en skadelig instruks gjøre disse funksjonene om til en kanal for dataeksfiltrering.

Del av et større sikkerhetsproblem for AI-agenter

Grok-avsløringen føyer seg inn i et bredere mønster der upålitelig innhold manipulerer assistenter som har tilgang til sensitive data eller kraftige verktøy.

• Microsoft 365 Copilot og EchoLeak: Studien av EchoLeak dokumenterte en «zero-click»-sårbarhet i Microsoft 365 Copilot. En spesiallaget e-post kunne føre til ekstern, uautentisert dataeksfiltrering. Sårbarheten er registrert som CVE-2025-32711.
• Microsoft Copilot Personal og CoSnitch: Varonis-forskere rapporterte at gjentatt manipulering av Copilots resonnering kunne føre til at sensitive data ble sendt til en ekstern server, samtidig som assistentens vedvarende minne kunne forgiftes.
• Angrep mot AI-baserte kodeagenter: I TrustFall-forskningen beskrev Adversa hvordan skadelig konfigurasjon i et kodearkiv kunne få et angriperkontrollert MCP-system til å kjøre kommandoer gjennom kodeassistenter som Claude Code, Gemini CLI, Cursor CLI og GitHub Copilot CLI.

Fellesnevneren er at angriperen ikke nødvendigvis trenger å kompromittere selve modellen eller operativsystemet direkte. Det kan være nok å levere innhold agenten er laget for å lese – og deretter utnytte agentens egne tillatelser til å hente informasjon, bruke verktøy, endre tilstand eller sende en nettverksforespørsel.

Hvilke sikkerhetstiltak peker avsløringen mot?

Angrepet viser at sikkerheten til AI-agenter trenger mer enn sterkere filtre mot prompt injection. Viktige tiltak er blant annet:

• Tydelig opphav til innhold: Nettsider og verktøyresultater bør holdes både teknisk og visuelt adskilt fra systeminstrukser og pålitelig programtilstand.
• Begrenset kodekjøring: Innhold som hentes inn, bør ikke kunne utløse vilkårlig dekryptering eller annen kode uten en strengt kontrollert policy og sandkasse.
• Minste privilegium: Begrens hvilke private data agenten kan lese, slik at en vanlig oppsummeringsoppgave ikke gir tilgang til uvedkommende sesjonsinformasjon.
• Godkjenning av sensitive handlinger: Nettverksforespørsler som inneholder bruker- eller samtaledata, bør kreve en tydelig og meningsfull bekreftelse.
• Kontroll på utgående trafikk: Tillatte domener, proxy-inspeksjon og egress-kontroller kan hindre agenter i å sende kontekstdata til vilkårlige URL-er.
• Overvåking av verktøykjeder: Systemene bør logge og varsle om uvanlige sekvenser, som nettsidehenting etterfulgt av kodekjøring, uthenting av kontekst og navigering til en ekstern adresse.

Hovedlærdommen er enkel: En AI-agent må ikke automatisk behandle innhold som pålitelig bare fordi det kom fra et verktøy. I Grok-tilfellet skal angrepet ha lykkes ved å gjøre en nettside om til en arbeidsflyt for dekryptering og kjøring – og deretter bruke agentens egne privilegier til å flytte privat kontekst ut av økten.

En skadelig nettside inneholder en kryptert instruksjonspakke sammen med informasjonen som trengs for å dekryptere den. Når Grok først leser siden, ser prompt-injection-forsvaret kryptert tekst – ikke den lesbare kommandoen. Deretter lures agenten til å kjøre en dekrypteringsrutine i Python- eller kodekjøringssandkassen. Den dekrypterte kommandoen kommer tilbake til modellen som resultatet av et verktøykall, noe agenten kan behandle annerledes enn en upålitelig instruksjon som står direkte på nettsiden.

Adversa oppga at teknikken ble testet mot Grok 4.5 Fast på grok.com. En separat omtale av testingen sa at angrepet lyktes i 40 prosent av 20 forsøk mellom juni og august 2026. Dette beskriver forskernes testmiljø – ikke en garanti for at hvert forsøk eller hver Grok-økt ville bli kompromittert.

Slik fungerer angrepet via en kryptert nettside

Den rapporterte angrepskjeden består av flere trinn:

1. Nettsiden inneholder den skjulte nyttelasten. Angriperen legger kryptert tekst, dekrypteringsinstrukser og nøkkelmateriale på en nettside som ellers kan se ut som vanlig innhold. Konstruksjonen som er omtalt, bruker nøkkelavledning med PBKDF2 og AES-256-GCM-kryptering.

2. Den første skanningen finner ikke kommandoen. Groks filtre kan undersøke det synlige innholdet på siden, men den farlige instruksen ligger skjult i krypterte data. Sterk kryptering gjør at modellen ikke kan tolke kommandoens klartekst i den første gjennomgangen.

3. Agenten dekrypterer innholdet. Når brukeren ber Grok oppsummere eller analysere siden, følger agenten instruksjonene der og kjører dekrypteringen i kodekjøringsmiljøet.

4. Kommandoen kommer tilbake i agentens kontekst. Den dekrypterte teksten presenteres som resultatet av en verktøyoperasjon. Dermed oppstår et problem med opphav og tillit: Angriperstyrt innhold har flyttet seg fra en upålitelig nettside til en kontekst agenten kan oppfatte som et operativt resultat.

5. Grok henter private sesjonsdata. I konseptbeviset ba de dekrypterte instruksene Grok hente verdier som brukerens navn, omtrentlige posisjon, abonnementstype og promptene i den tilgjengelige samtalekonteksten.

6. En nettleserforespørsel sender dataene ut. Grok åpnet deretter en URL kontrollert av angriperen og la de innsamlede verdiene inn i URL-ens spørringsparametre. I den rapporterte demonstrasjonen skjedde dette uten en ekstra bekreftelse eller et synlig varsel.

Det er likevel viktig å avgrense hva dokumentasjonen viser. Det tilgjengelige materialet støtter tilgang til promptene og konteksten som agenten hadde tilgjengelig i den aktive økten. Når omtaler snakker om «full chatthistorikk», bør det derfor ikke automatisk tolkes som tilgang til alle samtaler som er lagret på brukerens konto.

Når ble feilen meldt til xAI?

Adversa sier at problemet ble meldt til xAI gjennom HackerOne 3. juni 2026. Forskerne sendte deretter oppfølgingsmeldinger for koordinering 4. og 10. august.

Per 19. august 2026 oppga Adversa at selskapet ikke hadde fått noe substansielt svar, og at angrepet fortsatt kunne gjenskapes mot Grok. Omtalen som var tilgjengelig på det tidspunktet, beskrev problemet som uten en utrullet feilretting, offentlig CVE-identifikator eller løsning for brukerne.

Statusen bør forstås som en beskrivelse fra forskerne og mediene av rapporteringsprosessen – ikke som en offentlig sikkerhetsmelding fra xAI. Det tilgjengelige materialet fastslår heller ikke at teknikken er blitt brukt mot reelle brukere utenfor forskernes demonstrasjoner.

Hvorfor skaper kryptering en blindflekk?

Tradisjonelle forsvar mot prompt injection forsøker ofte å oppdage mistenkelig språk i innholdet et AI-system henter inn. Cryptographic Context Injection flytter den farlige instruksen til et senere trinn i behandlingen.

Modellen trenger ikke å forstå den skadelige kommandoen når den først skanner nettsiden. Den trenger bare å følge en tilsynelatende nyttig instruks – for eksempel å kjøre en dekrypteringsrutine – i et miljø den stoler på. Kommandoen blir lesbar etter kjøringen, når agenten allerede kan ha tilgang til privat kontekst og tillatelse til å surfe eller sende nettverksforespørsler.

Derfor er dette først og fremst et arkitekturproblem for AI-agenter, ikke bare et mislykket søk etter bestemte nøkkelord. Når en agent kan lese eksternt innhold, kjøre kode, hente sesjonsdata og bruke nettverktøy, kan en skadelig instruks gjøre disse funksjonene om til en kanal for dataeksfiltrering.

Del av et større sikkerhetsproblem for AI-agenter

Grok-avsløringen føyer seg inn i et bredere mønster der upålitelig innhold manipulerer assistenter som har tilgang til sensitive data eller kraftige verktøy.

• Microsoft 365 Copilot og EchoLeak: Studien av EchoLeak dokumenterte en «zero-click»-sårbarhet i Microsoft 365 Copilot. En spesiallaget e-post kunne føre til ekstern, uautentisert dataeksfiltrering. Sårbarheten er registrert som CVE-2025-32711.
• Microsoft Copilot Personal og CoSnitch: Varonis-forskere rapporterte at gjentatt manipulering av Copilots resonnering kunne føre til at sensitive data ble sendt til en ekstern server, samtidig som assistentens vedvarende minne kunne forgiftes.
• Angrep mot AI-baserte kodeagenter: I TrustFall-forskningen beskrev Adversa hvordan skadelig konfigurasjon i et kodearkiv kunne få et angriperkontrollert MCP-system til å kjøre kommandoer gjennom kodeassistenter som Claude Code, Gemini CLI, Cursor CLI og GitHub Copilot CLI.

Fellesnevneren er at angriperen ikke nødvendigvis trenger å kompromittere selve modellen eller operativsystemet direkte. Det kan være nok å levere innhold agenten er laget for å lese – og deretter utnytte agentens egne tillatelser til å hente informasjon, bruke verktøy, endre tilstand eller sende en nettverksforespørsel.

Hvilke sikkerhetstiltak peker avsløringen mot?

Angrepet viser at sikkerheten til AI-agenter trenger mer enn sterkere filtre mot prompt injection. Viktige tiltak er blant annet:

• Tydelig opphav til innhold: Nettsider og verktøyresultater bør holdes både teknisk og visuelt adskilt fra systeminstrukser og pålitelig programtilstand.
• Begrenset kodekjøring: Innhold som hentes inn, bør ikke kunne utløse vilkårlig dekryptering eller annen kode uten en strengt kontrollert policy og sandkasse.
• Minste privilegium: Begrens hvilke private data agenten kan lese, slik at en vanlig oppsummeringsoppgave ikke gir tilgang til uvedkommende sesjonsinformasjon.
• Godkjenning av sensitive handlinger: Nettverksforespørsler som inneholder bruker- eller samtaledata, bør kreve en tydelig og meningsfull bekreftelse.
• Kontroll på utgående trafikk: Tillatte domener, proxy-inspeksjon og egress-kontroller kan hindre agenter i å sende kontekstdata til vilkårlige URL-er.
• Overvåking av verktøykjeder: Systemene bør logge og varsle om uvanlige sekvenser, som nettsidehenting etterfulgt av kodekjøring, uthenting av kontekst og navigering til en ekstern adresse.

Hovedlærdommen er enkel: En AI-agent må ikke automatisk behandle innhold som pålitelig bare fordi det kom fra et verktøy. I Grok-tilfellet skal angrepet ha lykkes ved å gjøre en nettside om til en arbeidsflyt for dekryptering og kjøring – og deretter bruke agentens egne privilegier til å flytte privat kontekst ut av økten.