เว็บเพจเข้ารหัสอาจเปลี่ยน Grok ให้เป็นเครื่องมือขโมยข้อมูลแชต

นักวิจัย Rony Utevsky จาก Adversa AI รายงานเทคนิคโจมตีแบบ indirect prompt injection ที่อาจกระทบเอเจนต์เว็บของ Grok โดยไม่จำเป็นต้องให้เหยื่อคลิกหรืออนุมัติการทำงานเพิ่มเติม เพียงผู้ใช้ขอให้ Grok สรุปหรือวิเคราะห์เว็บเพจที่ผู้โจมตีควบคุม เว็บเพจนั้นก็อาจซ่อนคำสั่งไว้ในข้อมูลเข้ารหัส และหลอกให้ Grok ถอดรหัสแล้วประมวลผลคำสั่งภายในสภาพแวดล้อมการทำงานของตัวเอง

ผลกระทบที่ถูกรายงานถือว่าร้ายแรง เพราะเพย์โหลดหลังถอดรหัสอาจสั่งให้เอเจนต์ดึงข้อมูลเซสชันส่วนตัว แล้วฝังข้อมูลดังกล่าวไว้ในคำขอไปยังเซิร์ฟเวอร์ภายนอก อย่างไรก็ตาม หลักฐานในขณะนี้มาจากการเปิดเผยของ Adversa AI และรายงานที่เกี่ยวข้องเป็นหลัก จึงควรเข้าใจว่าเป็น proof of concept ที่ถูกรายงาน ไม่ใช่ผลการยืนยันจาก xAI ที่เผยแพร่โดยอิสระ

“Cryptographic Context Injection” ทำงานต่างจากการโจมตีทั่วไปอย่างไร

ระบบป้องกัน prompt injection แบบเดิมมักตรวจจับข้อความเพื่อค้นหาคำสั่งน่าสงสัย เทคนิคของ Adversa AI พยายามหลบการตรวจสอบดังกล่าวด้วยการนำคำสั่งอันตรายออกจากรูปแบบข้อความที่ตัวกรองอ่านได้ แล้วเก็บไว้บนเว็บเพจในรูปของ ciphertext

ตามข้อมูลของ Adversa เพย์โหลดประกอบด้วย JSON ที่เข้ารหัสด้วย AES-256-GCM พร้อมข้อมูลกุญแจและคำแนะนำให้ Grok รันโค้ดถอดรหัสในสภาพแวดล้อม Python หรือ sandbox ของตนเอง

นี่ไม่ใช่การโจมตีหรือการทำลายอัลกอริทึม AES แต่เป็นเทคนิคหลบเลี่ยงการตรวจจับ ตัวกรองอาจเห็นเพียงข้อมูลเข้ารหัสที่อ่านไม่รู้เรื่อง ขณะที่เอเจนต์มีเครื่องมือเพียงพอที่จะเปลี่ยนข้อมูลนั้นกลับเป็นคำสั่งในขั้นตอนถัดไป

ความแตกต่างนี้สำคัญมาก เพราะการกรองข้อความที่มองเห็นได้ไม่เท่ากับการควบคุมสิ่งที่เอเจนต์จะทำหลังจากแยกวิเคราะห์ ถอดรหัส รันโค้ด หรือรับข้อมูลจากแหล่งที่ไม่น่าเชื่อถือ

ลำดับการโจมตีที่ถูกรายงาน

โดยสรุป การโจมตีมี 4 ขั้นตอนหลัก

1. เว็บเพจอันตรายดูเป็นเรื่องปกติ ผู้ใช้ขอให้ Grok สรุปหรือวิเคราะห์เนื้อหาจากเว็บเพจนั้น
2. เว็บเพจส่งข้อมูลเข้ารหัสพร้อมแนวทางถอดรหัส Adversa ระบุว่าเพย์โหลดใช้ AES-256-GCM และกุญแจที่สร้างผ่าน PBKDF2 ทำให้คำสั่งหลักยังดูไม่ออกในช่วงตรวจสอบเนื้อหาเบื้องต้น
3. Grok รันโค้ดถอดรหัสที่เว็บเพจจัดเตรียมไว้ คำสั่งแบบข้อความธรรมดาจะปรากฏผ่านเส้นทางการรันโค้ดหรือเครื่องมือของโมเดล แทนที่จะปรากฏเป็นข้อความจากเว็บเพจโดยตรง โดย Adversa ระบุว่า Grok ปฏิบัติต่อผลลัพธ์ดังกล่าวเสมือนเป็นบริบทที่เชื่อถือได้
4. เพย์โหลดกำหนดการกระทำถัดไปของเอเจนต์ คำสั่งที่ถอดรหัสแล้วมีรายงานว่าสั่งให้ Grok ค้นหาข้อมูลเซสชันส่วนตัว แล้วนำข้อมูลไปต่อท้าย URL ก่อนเปิด URL ดังกล่าวเพื่อส่งข้อมูลไปยังปลายทางที่ผู้โจมตีควบคุม

ในการสาธิต proof of concept ของ Adversa มีการระบุข้อมูลอย่างชื่อผู้ใช้ ตำแหน่งโดยประมาณ ระดับการสมัครสมาชิก พรอมต์ และประวัติการสนทนา บริษัทระบุว่าการส่งข้อมูลเสร็จสิ้นโดยไม่มีคำเตือนหรือหน้าต่างขออนุมัติที่มองเห็นได้ในการสาธิต

จุดอ่อนที่แท้จริงอยู่ที่รันไทม์ ไม่ใช่แค่ตัวกรองข้อความ

ปัญหาหลักไม่ได้มีเพียงการที่ Grok ได้เห็นพรอมต์อันตราย แต่เป็นการที่ข้อมูลจากเว็บเพจซึ่งไม่น่าเชื่อถือสามารถข้ามขอบเขตความไว้วางใจหลายชั้นได้ ได้แก่

• เนื้อหาจากเว็บเพจถูกเปลี่ยนให้เป็นบริบทที่นำไปสั่งงานหรือรันโค้ดได้
• ผลลัพธ์หลังถอดรหัสถูกมองว่าน่าเชื่อถือกว่าที่มาของข้อมูลควรได้รับ
• ข้อมูลการสนทนาหรือเซสชันส่วนตัวถูกเปิดให้ห่วงโซ่การโจมตีเข้าถึง
• เอเจนต์สามารถใช้คำขอภายนอกเพื่อเคลื่อนย้ายข้อมูลออกจากเซสชัน

คำสั่งไม่ได้กลายเป็นสิ่งที่เชื่อถือได้เพียงเพราะมันถูกสร้างจากกระบวนการถอดรหัส ถูกส่งกลับมาจากเครื่องมือ หรืออยู่ในผลลัพธ์ระหว่างการประมวลผล ระบบต้องรักษาข้อมูลแหล่งที่มาไว้ตลอดกระบวนการ มิฉะนั้นผู้โจมตีอาจใช้การแยกวิเคราะห์ การรันโค้ด การดึงข้อมูล หรือผลลัพธ์จากเครื่องมือ เพื่อทำให้เนื้อหาที่ไม่น่าเชื่อถือดูเหมือนมีอำนาจสั่งงาน

ไทม์ไลน์การเปิดเผยและสถานะที่มีรายงาน

ตามคำชี้แจงของ Adversa Utevsky รายงานปัญหาให้ xAI และส่งผ่าน HackerOne เมื่อวันที่ 3 มิถุนายน 2026 ต่อมาในการเปิดเผยข้อมูลวันที่ 20 สิงหาคม Adversa ระบุว่าปัญหายังไม่ได้รับการแก้ไขเป็นเวลากว่าสองเดือน แม้มีการติดตามเรื่องหลายครั้ง

ในช่วงเวลาที่มีการเปิดเผย ยังไม่มีคำตอบจาก xAI ที่เผยแพร่ต่อสาธารณะ ไม่มีหมายเลข CVE แพตช์ หรือกำหนดการแก้ไขที่เปิดเผย สถานะนี้อ้างอิงจากการเปิดเผยของนักวิจัยและรายงานข่าวร่วมสมัย โดยไม่มีคำแถลงจาก xAI ที่เผยแพร่โดยอิสระเพื่อยืนยันผลการค้นพบหรือการแก้ไข

สิ่งที่ควรแก้ในระบบเอเจนต์

ข้อเสนอของ Adversa มุ่งไปที่รันไทม์ของเอเจนต์ มากกว่าการเพิ่มตัวกรองคีย์เวิร์ดเพียงอย่างเดียว มาตรการสำคัญประกอบด้วย

• รักษาข้อมูลแหล่งที่มาและป้ายกำกับ taint ข้อมูลจากเว็บเพจควรยังถูกจัดเป็นข้อมูลไม่น่าเชื่อถือ แม้ผ่านการแยกวิเคราะห์ ถอดรหัส รันโค้ด หรือเรียกใช้เครื่องมือแล้ว
• แยกข้อมูลออกจากสิทธิ์ในการสั่งงาน เนื้อหาที่ไม่น่าเชื่อถือและค่าที่ได้มาจากเนื้อหานั้นไม่ควรเรียกใช้เครื่องมือสิทธิ์สูง เข้าถึงบริบทการสนทนาส่วนตัว หรือกำหนดอาร์กิวเมนต์สำคัญของเครื่องมือได้
• จำกัดการเชื่อมต่อขาออก เอเจนต์ควรมีรายการอนุญาต การควบคุมปลายทาง และนโยบายป้องกันข้อมูลรั่วไหล ก่อนส่งข้อมูลไปยังเซิร์ฟเวอร์ภายนอกแห่งใหม่
• ขอความยินยอมที่มีความหมาย การกระทำที่เกี่ยวข้องกับบริบทส่วนตัวหรือการส่งข้อมูลออกไปควรต้องให้ผู้ใช้ยืนยันอย่างชัดเจน พร้อมอธิบายว่าข้อมูลใดจะออกจากเซสชันและส่งไปที่ใด
• ใช้หลักสิทธิ์น้อยที่สุด งานสรุปเว็บเพจไม่ควรเปิดสิทธิ์เข้าถึงประวัติแชตทั้งหมด ข้อมูลโปรไฟล์ การรันโค้ด หรือเครือข่ายแบบไร้ข้อจำกัดโดยอัตโนมัติ

มาตรการเหล่านี้จัดการกับการผสมกันของอินพุตที่ไม่น่าเชื่อถือ บริบทส่วนตัว การรันโค้ด และเครื่องมือที่สามารถลงมือทำได้ การหวังพึ่งเพียงพฤติกรรมปฏิเสธของโมเดลจึงไม่ใช่ขอบเขตความปลอดภัยที่เพียงพอ

เกี่ยวข้องกับการโจมตีเอเจนต์ AI อื่นอย่างไร

กรณีของ Grok เป็นส่วนหนึ่งของรูปแบบการโจมตีที่กว้างขึ้น ผู้โจมตีจะควบคุมเนื้อหาที่เอเจนต์ถูกขอให้ประมวลผล แล้วอาศัยสิทธิ์ที่เอเจนต์มีอยู่เดิมเพื่อทำงานต่อจนสำเร็จ

EchoLeak ของ Microsoft 365 Copilot ถูกอธิบายว่าเป็นช่องโหว่ prompt injection แบบ zero-click ซึ่งอีเมลที่สร้างขึ้นเป็นพิเศษอาจทำให้เกิดการดึงข้อมูลจากระยะไกลโดยไม่ต้องยืนยันตัวตน และข้อมูลดังกล่าวเป็นข้อมูลที่ผู้ช่วยเข้าถึงได้ งานศึกษาทางวิชาการระบุช่องโหว่นี้เป็น CVE-2025-32711

ส่วนรายงานเกี่ยวกับ Microsoft Copilot Personal กล่าวถึงห่วงโซ่การโจมตีชื่อ CoSnitch ซึ่งลิงก์ที่สร้างขึ้นเป็นพิเศษอาจทำให้เกิดการรันพรอมต์และดึงข้อมูลจากแอปที่เชื่อมต่ออยู่ นักวิจัยระบุว่า Microsoft ออกแพตช์เมื่อวันที่ 18 สิงหาคม 2026

เอเจนต์สำหรับเขียนโค้ดก็มีความเสี่ยงลักษณะเดียวกัน แต่ช่องทางส่งมอบเปลี่ยนจากเว็บเพจเป็น repository Adversa รายงานว่า repository อันตรายอาจใช้ประโยชน์จากพฤติกรรมด้านความเชื่อถือและการตั้งค่าของผู้ช่วยเขียนโค้ดหลายราย เช่น Claude Code, Cursor CLI, Gemini CLI และ Copilot CLI เพื่อรัน MCP server ที่ผู้โจมตีควบคุมและอาจมีสิทธิ์กว้างขวาง อีกรายงานของ Adversa อธิบายการหลบเลี่ยงนโยบายผ่านคำสั่ง shell ที่ต่อกันเป็นสายยาว ซึ่งอาจนำไปสู่การขโมยข้อมูลรับรองหรือความลับ

ไม่ว่าจะส่งผ่านอีเมล URL เอกสาร repository เว็บเพจเข้ารหัส หรือการเชื่อมต่อเครื่องมือ บทเรียนด้านสถาปัตยกรรมยังเหมือนเดิม นั่นคือเอเจนต์ไม่ควรเปลี่ยนเนื้อหาที่ผู้โจมตีควบคุมให้กลายเป็นสิทธิ์ในการอ่านข้อมูลลับหรือดำเนินการภายนอก

บทเรียนใหญ่ด้านความปลอดภัย AI

Cryptographic Context Injection แสดงให้เห็นว่า ความปลอดภัยของเอเจนต์ไม่ควรหยุดอยู่ที่การสแกนข้อความแรกที่เข้าสู่ context window เท่านั้น คำสั่งอาจปรากฏภายหลังจากการถอดรหัส การดึงข้อมูล การแยกวิเคราะห์ การรันโค้ด การเข้าถึงหน่วยความจำ หรือการเรียกใช้เครื่องมืออื่น หากแต่ละขั้นตอนทำให้ระบบสูญเสียข้อมูลต้นทาง ผู้โจมตีก็สามารถใช้ช่องว่างระหว่างสิ่งที่ระบบจัดว่า “ไม่น่าเชื่อถือ” กับสิ่งที่รันไทม์ภายหลังปฏิบัติเสมือน “เชื่อถือได้”

สำหรับผู้ใช้ บทเรียนที่นำไปใช้ได้ทันทีคือควรระมัดระวังเมื่อสั่งเอเจนต์ที่เข้าถึงบทสนทนาส่วนตัวหรือเครื่องมือต่าง ๆ ให้ประมวลผลเว็บเพจ เอกสาร ลิงก์ หรือ repository ที่ไม่คุ้นเคย สำหรับนักพัฒนา สิ่งที่ต้องทำมีความเข้มงวดกว่านั้น ได้แก่ บังคับใช้ขอบเขตความไว้วางใจในรันไทม์ จำกัดการเข้าถึงข้อมูลอ่อนไหว ควบคุมพารามิเตอร์ของเครื่องมือ กำกับการเชื่อมต่อเครือข่ายขาออก และทำให้การกระทำที่มีผลกระทบสูงมองเห็นได้พร้อมขอการยืนยัน

ดังนั้น เทคนิคที่ถูกรายงานใน Grok จึงไม่ควรถูกเข้าใจว่าเป็นการ “ทำลาย AES” แต่เป็นคำเตือนเรื่องการฟอกสิทธิ์หรือ authority laundering ข้อมูลเข้ารหัสอาจช่วยซ่อนคำสั่งจากตัวกรองได้ ทว่ามีเพียงรันไทม์ของเอเจนต์ที่เปิดสิทธิ์กว้างเท่านั้นจึงจะเปลี่ยนคำสั่งที่ซ่อนอยู่ให้กลายเป็นการขโมยข้อมูลได้