Krypterad attack kunde få Grok att läcka chattdata

Adversa uppger att tekniken testades mot Grok 4.5 Fast på grok.com. En separat redogörelse för testerna anger att angreppet lyckades i 40 procent av 20 försök mellan juni och augusti 2026. Det resultatet gäller forskarnas testmiljö och betyder inte att varje försök eller varje Grok-session skulle kunna kapas.

Så fungerar attackkedjan

Den rapporterade attacken består av flera steg:

1. Webbsidan bär på det dolda innehållet. Angriparen placerar chiffertext, instruktioner för dekryptering och nyckelmaterial på en webbsida som i övrigt kan se ut som helt vanligt innehåll. Konstruktionen använder PBKDF2-baserad nyckelhantering och AES-256-GCM-kryptering.

2. Den första granskningen missar kommandot. Groks filter kan inspektera det synliga innehållet, men den farliga instruktionen ligger dold i krypterad data. Den starka krypteringen gör att modellen inte direkt kan tolka kommandots klartext vid den första genomgången.

3. Agenten dekrypterar innehållet. När användaren ber Grok sammanfatta eller analysera sidan följer agenten sidans instruktioner och kör dekrypteringen i sin kodkörningsmiljö.

4. Kommandot kommer tillbaka i agentens kontext. Den dekrypterade texten presenteras som resultatet från ett verktyg. Därmed har angriparkontrollerat innehåll flyttats från en opålitlig webbsida till en del av kontexten som agenten kan uppfatta som ett operativt resultat.

5. Grok hämtar sessionsdata. I proof-of-concept-demonstrationen instruerades Grok att ta fram uppgifter som användarens namn, ungefärliga plats, abonnemangsnivå och prompter från den tillgängliga konversationen.

6. En webbförfrågan skickar uppgifterna vidare. Grok öppnade därefter en angriparkontrollerad URL och placerade den insamlade informationen i URL:ens frågeparametrar. Enligt demonstrationen skedde detta utan ytterligare bekräftelse eller synlig varning.

Det finns samtidigt en viktig begränsning i vad som har visats. Underlaget stödjer åtkomst till prompter och kontext som gjorts tillgängliga för agenten i den aktiva sessionen. Formuleringar om ”hela chatthistoriken” bör därför inte automatiskt tolkas som att Grok fick tillgång till alla konversationer som finns lagrade på användarens konto.

När rapporterades felet till xAI?

Adversa uppger att problemet rapporterades till xAI via HackerOne den 3 juni 2026. Forskarna skickade därefter uppföljningar om samordnad publicering den 4 och 10 augusti.

Den 19 augusti 2026 sade Adversa att företaget fortfarande inte hade fått något substantiellt svar och att angreppet fortfarande gick att återskapa mot Grok. Den rapportering som fanns tillgänglig då beskrev sårbarheten som utan publicerad fix, CVE-nummer eller användarinriktad tillfällig lösning.

Detta är forskarnas och mediernas beskrivning av utlämningsprocessen, inte ett offentligt säkerhetsmeddelande från xAI. Det tillgängliga materialet visar inte heller att angripare hade använt tekniken mot verkliga användare utanför forskarnas demonstrationer.

Därför kan kryptering skapa en blind fläck

Traditionella skydd mot promptinjektion försöker ofta känna igen misstänkt språk i innehåll som ett AI-system hämtar. Cryptographic Context Injection flyttar i stället den farliga instruktionen till ett senare steg i behandlingen.

Modellen behöver inte förstå det skadliga kommandot när den först läser sidan. Den behöver bara följa en till synes användbar instruktion – exempelvis att köra ett dekrypteringsprogram – i en miljö som systemet betraktar som betrodd. Kommandot blir läsbart först efter körningen, när agenten redan kan ha tillgång till privat kontext och möjlighet att surfa eller skicka nätverksförfrågningar.

Det är därför sårbarheten framför allt bör ses som ett arkitekturproblem för AI-agenter, inte bara som ett misslyckat sökfilter. När en agent kan läsa externt innehåll, köra kod, komma åt sessionsdata och använda nätverksverktyg kan en skadlig instruktion förvandla dessa funktioner till en kanal för dataläckage.

En del av ett större säkerhetsproblem

Grok-fallet följer ett bredare mönster där opålitligt innehåll manipulerar assistenter som har tillgång till känsliga uppgifter eller kraftfulla verktyg.

• Microsoft 365 Copilot och EchoLeak: Fallstudien om EchoLeak dokumenterade en promptinjektionssårbarhet utan krav på användarinteraktion i Microsoft 365 Copilot. Ett specialutformat mejl kunde användas för fjärrstyrt och obehörigt dataläckage. Sårbarheten har registrerats som CVE-2025-32711.
• Microsoft Copilot Personal och CoSnitch: Varonis-forskare uppgav att upprepad manipulation av Copilots resonemang kunde få känslig data att skickas till en extern server och samtidigt förgifta assistentens bestående minne.
• Angrepp mot AI-baserade kodverktyg: I sin TrustFall-forskning beskrev Adversa hur skadlig konfiguration i ett kodförråd kunde få en angriparkontrollerad MCP-server att köra kommandon genom kodassistenter som Claude Code, Gemini CLI, Cursor CLI och GitHub Copilot CLI.

Den gemensamma nämnaren är att angriparen inte nödvändigtvis behöver ta sig förbi den underliggande modellen eller operativsystemet direkt. Det räcker att leverera innehåll som agenten är byggd för att läsa och sedan utnyttja agentens egna behörigheter för att hämta information, anropa verktyg, ändra tillstånd eller skicka en nätverksförfrågan.

Vilka skydd behövs?

Den rapporterade attacken visar att säkerheten för AI-agenter behöver mer än starkare filter mot promptinjektion. Viktiga åtgärder är bland annat:

• Tydlig ursprungsseparation: Håll webbsidor och verktygsresultat tekniskt och visuellt åtskilda från systeminstruktioner och betrodda programdata.
• Begränsad kodkörning: Låt inte hämtat innehåll automatiskt starta godtycklig dekryptering eller annan kod utan en strikt policy och en isolerad sandbox.
• Minsta möjliga behörighet: Begränsa vilken privat kontext agenten får läsa. En vanlig sammanfattningsuppgift bör inte ge tillgång till orelaterade sessionsdata.
• Godkännande för känsliga åtgärder: Nätverksförfrågningar som innehåller användar- eller konversationsdata bör kräva ett tydligt och meningsfullt godkännande.
• Kontrollerad utgående trafik: Tillåtna domäner, proxygranskning och egress-kontroller kan hindra agenter från att skicka kontextdata till godtyckliga URL:er.
• Övervakning av verktygskedjor: Logga och larma vid ovanliga sekvenser, till exempel när en webbsida hämtas, kod körs, kontext extraheras och en extern navigering följer direkt efter.

Den centrala lärdomen är enkel: en AI-agent får inte automatiskt lita på innehåll bara för att det har producerats av ett verktyg. I Groks rapporterade fall lyckades angreppet förvandla en webbsida till ett arbetsflöde för dekryptering och körning – och därefter använda agentens egna behörigheter för att föra privat kontext ut ur sessionen.