Como o ataque “Cryptographic Context Injection” pode vazar dados de chats do Grok

A pesquisadora Rony Utevsky, da Adversa AI, divulgou uma técnica de injeção indireta de prompt e exfiltração de dados que a empresa chamou de Cryptographic Context Injection. O alvo testado foi o agente de navegação do Grok, da xAI.

O ataque não exige que a vítima digite um comando malicioso. Em princípio, basta pedir ao Grok que resuma ou analise uma página preparada. Nos testes da Adversa, o agente conseguiu descriptografar instruções controladas pelo atacante, acessar informações disponíveis no contexto da conversa ativa e enviá-las a um servidor externo sem uma etapa visível de confirmação.

O que a vulnerabilidade faz

A falha não significa que a criptografia AES-256-GCM tenha sido quebrada. O problema está na fronteira entre as verificações de segurança do Grok, seu ambiente de execução de código e as ferramentas de navegação.

A página maliciosa traz uma carga criptografada acompanhada do material necessário para descriptografá-la. Quando o Grok examina a página, suas defesas iniciais contra injeção de prompt enxergam texto cifrado, e não o comando em texto claro. Em seguida, o agente é induzido a executar uma rotina de descriptografia em seu ambiente de código, baseado em Python ou equivalente. Depois de descriptografado, o comando retorna ao modelo como saída produzida por uma ferramenta — um tipo de conteúdo que o agente pode tratar de forma diferente de uma instrução não confiável inserida diretamente na página.

A Adversa informou ter testado a técnica contra o Grok 4.5 Fast em grok.com. Um relato separado dos testes afirmou que o ataque funcionou em 40% de 20 tentativas realizadas entre junho e agosto de 2026. Esse número descreve o ambiente de teste dos pesquisadores; não significa que toda tentativa ou toda sessão do Grok seria comprometida.

Como funciona o ataque com uma página criptografada

A cadeia descrita pelos pesquisadores tem várias etapas:

1. A página transporta a carga escondida. O atacante coloca em um site aparentemente comum o texto cifrado, instruções para a descriptografia e o material de chave. A construção relatada usa derivação de chave com PBKDF2 e criptografia AES-256-GCM.

2. A varredura inicial não identifica o comando. Os filtros do Grok podem analisar o conteúdo visível da página, mas a instrução perigosa está escondida dentro de dados criptografados. Como a criptografia é forte, o modelo não consegue interpretar diretamente o comando em texto claro nessa primeira etapa.

3. O agente faz a descriptografia. Quando o usuário pede um resumo ou uma análise da página, o Grok segue as instruções do conteúdo e executa o processo de descriptografia em seu ambiente de execução de código.

4. O comando volta ao contexto do agente. O texto descriptografado é apresentado como resultado de uma operação de ferramenta. Isso cria um problema de procedência: o conteúdo controlado pelo atacante saiu de uma página não confiável e passou a ocupar um contexto que o agente pode interpretar como resultado operacional.

5. O Grok consulta dados da sessão. Na prova de conceito, as instruções descriptografadas orientavam o Grok a obter valores como nome do usuário, localização aproximada, nível da assinatura e prompts disponíveis no contexto da conversa.

6. Uma requisição de navegador envia os dados. O agente então abriu uma URL controlada pelo atacante e inseriu os valores coletados nos parâmetros da requisição. Na demonstração relatada, isso ocorreu sem uma confirmação adicional ou um alerta visível.

Há uma limitação importante de escopo. As evidências disponíveis sustentam o acesso aos prompts e ao contexto disponibilizados ao agente na sessão ativa. Portanto, referências a “todo o histórico de chats” não devem ser interpretadas automaticamente como acesso a todas as conversas armazenadas na conta do usuário.

Quando a falha foi comunicada à xAI?

A Adversa afirmou ter comunicado o problema à xAI por meio do HackerOne em 3 de junho de 2026. Os pesquisadores também enviaram acompanhamentos para coordenação da divulgação em 4 e 10 de agosto.

Em 19 de agosto de 2026, a Adversa disse que ainda não havia recebido uma resposta substancial e que o ataque continuava reproduzível contra o Grok. Os relatos disponíveis naquele momento descreviam a falha como sem correção implantada, sem identificador público de CVE e sem uma solução alternativa voltada aos usuários.

Esse status representa o relato dos pesquisadores e da cobertura jornalística sobre o processo de divulgação, não um comunicado oficial de segurança da xAI. As fontes fornecidas também não comprovam que a técnica tenha sido usada contra usuários reais fora das demonstrações dos pesquisadores.

Por que a criptografia cria um ponto cego

Muitas defesas tradicionais contra injeção de prompt tentam reconhecer linguagem suspeita no conteúdo recuperado por um sistema de IA. A Cryptographic Context Injection desloca a instrução perigosa para uma etapa posterior do processamento.

O modelo não precisa entender o comando malicioso quando examina a página pela primeira vez. Ele só precisa seguir uma instrução aparentemente útil — como executar uma rotina de descriptografia — dentro de um ambiente considerado confiável. O comando se torna legível depois dessa execução, quando o agente talvez já tenha acesso ao contexto privado e permissão para navegar ou realizar requisições de rede.

Por isso, a vulnerabilidade é melhor entendida como um problema de arquitetura de agentes, e não apenas como uma falha de filtro de palavras-chave. Quando um agente pode ler conteúdo externo, executar código, acessar dados da sessão e chamar ferramentas de rede, uma instrução maliciosa pode transformar essas capacidades em um caminho para a exfiltração de dados.

O caso do Grok no contexto dos riscos de agentes de IA

A divulgação se encaixa em um padrão mais amplo: conteúdos não confiáveis manipulam assistentes que têm acesso a informações sensíveis ou a ferramentas poderosas.

• Pesquisa EchoLeak no Microsoft 365 Copilot: o estudo documentou uma vulnerabilidade de injeção de prompt sem interação do usuário que permitia a exfiltração remota e não autenticada de dados por meio de um e-mail especialmente criado. O problema é rastreado como CVE-2025-32711.
• Pesquisa CoSnitch no Microsoft Copilot Personal: pesquisadores da Varonis relataram que a manipulação repetida do raciocínio do Copilot poderia fazer o assistente enviar dados sensíveis a um servidor externo e corromper sua memória persistente.
• Ataques contra agentes de programação: na pesquisa TrustFall, a Adversa descreveu como configurações maliciosas em um repositório poderiam levar servidores MCP controlados por atacantes a executar comandos por meio de assistentes como Claude Code, Gemini CLI, Cursor CLI e GitHub Copilot CLI.

O ponto em comum é que o atacante nem sempre precisa comprometer diretamente o modelo ou o sistema operacional. Ele fornece um conteúdo que o agente foi projetado para ler e depois se apoia nas permissões do próprio agente para consultar informações, acionar ferramentas, alterar estados ou fazer uma requisição de rede.

Que defesas o caso sugere

O ataque relatado indica que a segurança de agentes precisa ir além de filtros mais fortes contra injeção de prompt. Entre os controles importantes estão:

• Separação de procedência: manter o conteúdo de páginas e ferramentas claramente separado, tanto visual quanto tecnicamente, das instruções do sistema e do estado confiável da aplicação;
• Restrições à execução de código: impedir que conteúdo recuperado acione descriptografia arbitrária ou outro código sem uma política rigorosa e um sandbox devidamente controlado;
• Privilégio mínimo: limitar o contexto privado acessível ao agente e evitar que uma tarefa comum de resumo exponha dados não relacionados da sessão;
• Aprovação para ações sensíveis: exigir confirmação explícita e significativa para requisições de rede que contenham dados do usuário ou da conversa;
• Controle do tráfego de saída: usar listas de domínios permitidos, inspeção por proxy e controles de saída para impedir que agentes enviem dados de contexto a URLs arbitrárias;
• Monitoramento da cadeia de ferramentas: registrar e alertar sobre sequências incomuns, como recuperar uma página, executar código, extrair contexto e navegar para um endereço externo.

A lição central é direta: um agente de IA não deve considerar um conteúdo confiável apenas porque ele foi produzido por uma ferramenta. No caso relatado do Grok, o ataque transformou uma página em um fluxo de descriptografia e execução — e depois usou as próprias permissões do agente para levar dados privados para fora da sessão.