Krypterad promptinjektion kan få Grok att läcka chattdata

I Adversas proof of concept ingick enligt företaget användarens namn, ungefärliga plats, abonnemangsnivå, promptar och chatthistorik. Företaget uppgav att överföringen genomfördes utan synlig varning eller bekräftelse i demonstrationen.

Den verkliga säkerhetsgränsen finns i körmiljön

Det centrala problemet är inte bara att Grok fick se en skadlig prompt. Det är att data från en opålitlig webbsida enligt rapporten passerade flera tillitsgränser:

• webbinnehåll blev körbar eller handlingsdrivande kontext;
• dekrypterat innehåll behandlades som mer tillförlitligt än dess ursprung motiverade;
• privat samtals- eller sessionskontext blev tillgänglig för attackkedjan; och
• agenten kunde använda en extern begäran för att föra ut informationen ur sessionen.

En instruktion blir inte automatiskt betrodd bara för att den kommer från en dekrypteringsrutin, returneras av ett verktyg eller placeras i ett mellanresultat i körmiljön. Datans ursprung måste följa med genom alla dessa omvandlingar. Annars kan en angripare använda tolkning, kodkörning, hämtning eller verktygsresultat för att tvätta opålitligt innehåll till något som ser auktoritativt ut.

Rapportering och aktuell status

Enligt Adversas redogörelse rapporterade Utevsky problemet till xAI och via HackerOne den 3 juni 2026. I Adversas offentliggörande den 20 augusti uppgavs att problemet hade varit olöst i mer än två månader, trots uppföljningar.

Den tillgängliga rapporteringen innehöll vid tidpunkten inget offentligt svar från xAI, inget CVE-nummer och ingen tidsplan för åtgärder. Den statusen bygger på forskarens offentliggörande och samtida rapportering; något oberoende publicerat xAI-uttalande som bekräftar fyndet eller en åtgärd finns inte med här.

Vad behöver åtgärdas?

Adversas rekommendationer handlar framför allt om agentens körmiljö, inte om ännu fler sökord i innehållsfiltren. Viktiga skydd är:

• Bevara ursprung och märkning av opålitlig data. Innehåll från en webbsida bör fortsätta vara opålitligt även efter tolkning, dekryptering, kodkörning eller användning av verktyg.
• Håll isär data och auktoritet. Opålitligt innehåll och värden som härrör från det ska inte kunna anropa privilegierade verktyg, läsa privat samtalskontext eller bestämma känsliga verktygsargument.
• Begränsa utgående trafik. Agenter bör använda tillåtelselistor, destinationskontroller och dataläckageskydd innan information skickas till en ny extern slutpunkt.
• Kräv meningsfullt samtycke. Åtgärder som rör privat kontext eller extern överföring bör kräva en tydlig bekräftelse från användaren, med information om vilka uppgifter som lämnar sessionen och vart de skickas.
• Tillämpa minsta möjliga behörighet. En uppgift som bara går ut på att sammanfatta en text bör inte automatiskt ge tillgång till hela chatthistoriken, profilmetadata, kodkörning eller ett obegränsat nätverk.

Tillsammans adresserar dessa kontroller den farliga kombinationen av opålitlig indata, privat kontext, kodkörning och verktyg som kan utföra handlingar. Enbart modellens vägran att följa vissa instruktioner räcker inte som säkerhetsgräns.

Likheter med andra attacker mot AI-agenter

Grok-rapporten ingår i ett större mönster där angripare manipulerar det innehåll som en agent ska bearbeta och sedan utnyttjar agentens legitima behörigheter för att slutföra angreppet.

Microsoft 365 Copilots EchoLeak beskrevs som en zero-click-sårbarhet för promptinjektion. Ett specialskrivet mejl kunde enligt rapporteringen möjliggöra fjärrstyrd och oautentiserad exfiltrering av data som assistenten kunde komma åt. En akademisk fallstudie identifierar problemet som CVE-2025-32711.

Separat rapportering om Microsoft Copilot Personal beskrev attackkedjan CoSnitch, där en manipulerad länk kunde utlösa promptkörning och dataexfiltrering från anslutna appar. Forskarna uppgav att Microsoft distribuerade patchar den 18 augusti 2026.

Kodagenter utsätts för en liknande risk via kodarkiv i stället för webbsidor. Adversa har rapporterat att skadliga arkiv kan utnyttja tillits- och konfigurationsbeteenden i flera kodassistenter, däribland Claude Code, Cursor CLI, Gemini CLI och Copilot CLI, för att köra angriparkontrollerade MCP-servrar med potentiellt omfattande behörigheter. I en annan rapport beskrev Adversa ett policy kringgående i arkiv som byggde på långa kedjor av skalkommandon och som kunde leda till stöld av inloggningsuppgifter eller hemligheter.

Leveranssättet varierar – mejl, URL, dokument, kodarkiv, krypterad webbsida eller verktygsintegration – men den arkitektoniska lärdomen är densamma: en agent får inte omvandla angriparkontrollerat innehåll till behörighet att läsa konfidentiell data eller utföra externa åtgärder.

Den större säkerhetsfrågan

Cryptographic Context Injection visar varför agentsäkerhet inte kan stanna vid att skanna texten som först hamnar i kontextfönstret. En agent kan möta instruktioner efter dekryptering, hämtning, tolkning, kodkörning, minnesåtkomst eller ett annat verktygsanrop. Om varje omvandling tappar bort datans ursprung kan en angripare utnyttja glappet mellan det som systemet klassar som opålitligt och det som körmiljön senare behandlar som betrott.

För användare är den praktiska lärdomen att vara försiktig när en agent med tillgång till privata samtal eller verktyg får bearbeta okända webbsidor, dokument, länkar eller kodarkiv. För utvecklare är kraven högre: tillitsgränser måste upprätthållas i körmiljön, åtkomsten till känslig kontext begränsas, verktygsparametrar styras, utgående nätverkstrafik kontrolleras och åtgärder med stor påverkan göras synliga och möjliga att bekräfta.

Den rapporterade Grok-tekniken bör därför inte främst förstås som att AES har knäckts, utan som en varning för så kallad auktoritetsförädling: krypterat innehåll kan dölja en instruktion för ett filter, men det krävs en tillåtande agentkörmiljö för att omvandla den dolda instruktionen till en handling som stjäl data.