Şifreli komutlar Grok’u sohbet verisi sızdırma aracına dönüştürebilir

Adversa AI araştırmacısı Rony Utevsky, xAI’ın Grok web aracını etkilediği bildirilen, sıfır tıklamalı dolaylı prompt injection tekniğini açıkladı. Senaryoda kullanıcının yalnızca saldırganın kontrolündeki bir web sayfasını özetlemesini veya analiz etmesini istemesi yeterli oluyor. Sayfa, talimatlarını şifreli veri olarak gizliyor; Grok ise bu veriyi kendi kod çalıştırma ortamında çözmeye ve işlemeye yönlendiriliyor.

Bildirilen etki ciddi: Çözülen yük, ajana özel oturum bilgilerini almasını ve bunları harici bir sunucuya yapılan isteğe eklemesini söyleyebiliyor. Mevcut kanıtlar ağırlıklı olarak Adversa AI’ın açıklamasına ve ilgili haberlere dayanıyor. Bu nedenle bulgular, xAI tarafından bağımsız biçimde doğrulanmış bir sonuçtan ziyade bildirilmiş bir kavram kanıtlama gösterimi olarak değerlendirilmelidir.

“Cryptographic Context Injection” neyi değiştiriyor?

Geleneksel prompt injection savunmaları çoğu zaman şüpheli talimatları metin içinde arar. Adversa’nın tekniği ise kötü amaçlı komutları web sayfasında şifreli metin, yani şifreli veri biçiminde saklayarak bu inceleme aşamasının dışına çıkmayı amaçlıyor. Bildirime göre sayfada AES-256-GCM ile şifrelenmiş bir JSON yükü, anahtar materyali ve Grok’u Python ya da sandbox çalışma zamanında şifre çözme kodunu çalıştırmaya teşvik eden talimatlar bulunuyor.

Burada AES’e yönelik bir kriptografik saldırıdan söz edilmiyor. Şifreleme, bir filtre atlatma yöntemi olarak kullanılıyor: İçerik filtresi anlamsız görünen şifreli veriyi görürken ajan, işlem akışının ilerleyen bir aşamasında bu veriyi yeniden talimata dönüştürecek araçlara sahip oluyor.

Bu ayrım önemli. Görünen metni filtrelemek, ajanın güvenilmeyen bir kaynaktan veri aldıktan sonra bu veriyi çözmesine, çalıştırmasına, yorumlamasına veya araç çıktısı olarak kabul etmesine izin verilen eylemleri denetlemekle aynı şey değil.

Bildirilen saldırı zinciri nasıl işliyor?

Saldırı genel olarak dört aşamadan oluşuyor:

1. Kötü amaçlı sayfa sıradan görünür. Kullanıcı, Grok’tan sayfadaki içeriği özetlemesini veya analiz etmesini ister.
2. Sayfa şifreli içerik ve şifre çözme yönergeleri sunar. Adversa, yükün PBKDF2 ile türetilmiş bir anahtarla AES-256-GCM kullandığını ve bu sayede ana talimatların ilk içerik incelemesi sırasında görünmez kaldığını söylüyor.
3. Grok, sunulan şifre çözme mantığını çalıştırır. Düz metin talimatlar, sayfanın başında açıkça görünen komutlar olarak değil, modelin kod veya araç çalıştırma akışının sonucu olarak ortaya çıkar. Adversa’ya göre Grok daha sonra bu sonucu güvenilir bağlam gibi ele alır.
4. Yük, ajanın sonraki eylemini yönlendirir. Talimatların Grok’a özel oturum ayrıntılarını bulmasını ve bunları bir URL’ye ekleyerek bu URL’yi açmasını söylediği bildiriliyor. Böylece bilgiler saldırganın kontrolündeki bir uç noktaya aktarılabiliyor.

Adversa’nın kavram kanıtlama gösteriminde kullanıcının adı, yaklaşık konumu, abonelik seviyesi, istemleri ve sohbet geçmişi yer aldı. Şirket, gösterim sırasında aktarımın görünür bir uyarı veya onay alınmadan tamamlandığını belirtti.

Asıl güvenlik sınırı neden çalışma zamanı?

Temel sorun yalnızca Grok’un kötü amaçlı bir komutla karşılaşması değil. Bildirilen senaryoda güvenilmeyen bir web sayfasından gelen veriler birkaç güven sınırını aşıyor:

• web sayfası içeriği çalıştırılabilir ya da eyleme dönük bir bağlama dönüşüyor;
• şifresi çözülmüş çıktı, kaynağının gerektirdiğinden daha güvenilir kabul ediliyor;
• özel konuşma veya oturum bağlamı saldırı zincirinin erişimine açılıyor;
• ajan, harici bir isteği kullanarak bu verileri oturum dışına çıkarabiliyor.

Bir talimat, şifre çözme rutini tarafından üretildiği, bir araçtan döndüğü veya çalışma zamanındaki ara sonuca eklendiği için güvenilir hale gelmez. Verinin kaynağı, bu dönüşümlerden sonra da korunmalıdır. Aksi halde saldırgan; ayrıştırma, kod çalıştırma, veri getirme veya araç çıktısı gibi adımları kullanarak güvenilmeyen içeriği görünürde yetkili bir komuta dönüştürebilir.

Bildirim süreci ve mevcut durum

Adversa’nın açıklamasına göre Utevsky, sorunu 3 Haziran 2026’da xAI’a ve HackerOne üzerinden bildirdi. Adversa’nın 20 Ağustos tarihli açıklamasında, takip mesajlarına rağmen sorunun iki aydan uzun süredir çözülmediği belirtildi.

Açıklama sırasında kamuya açık bir xAI yanıtı, CVE numarası, düzeltme veya çözüm takvimi paylaşılmamıştı. Bu durum araştırmacının açıklamasına ve aynı dönemde yayımlanan haberlere dayanıyor; burada bulguyu ya da giderildiğini doğrulayan bağımsız bir xAI açıklaması bulunmuyor.

Hangi önlemler alınmalı?

Adversa’nın önerileri, daha fazla anahtar kelime filtresi eklemekten çok ajanın çalışma zamanı altyapısını güçlendirmeye odaklanıyor:

• Veri kökeni ve güvenilmeyenlik etiketleri korunmalı. Bir web sayfasından gelen içerik; ayrıştırma, şifre çözme, kod çalıştırma veya araç kullanımından sonra da güvenilmeyen kabul edilmeli.
• Veri ile yetki birbirinden ayrılmalı. Güvenilmeyen içerik ve bu içerikten türetilen değerler; ayrıcalıklı araçları çalıştıramamalı, özel konuşma bağlamına erişememeli veya hassas araç parametrelerini belirleyememeli.
• Giden trafik kısıtlanmalı. Ajanlar yeni bir harici uç noktaya bilgi göndermeden önce izin listeleri, hedef denetimleri ve veri kaybı önleme politikaları uygulamalı.
• Anlamlı kullanıcı onayı zorunlu olmalı. Özel bağlam veya harici veri aktarımı içeren işlemlerde, hangi verinin oturumdan çıkacağını ve nereye gönderileceğini açıklayan net bir onay adımı bulunmalı.
• En az ayrıcalık ilkesi uygulanmalı. Basit bir özetleme görevi, otomatik olarak tüm sohbet geçmişine, profil bilgilerine, kod çalıştırmaya veya sınırsız ağ erişimine izin vermemeli.

Bu kontroller, güvenilmeyen girdi, özel bağlam, kod çalıştırma ve eylem gerçekleştirebilen araçların tehlikeli birleşimini hedefliyor. Yalnızca modelin reddetme davranışına güvenmek yeterli bir güvenlik sınırı değil.

Diğer yapay zekâ ajanı saldırılarıyla benzerliği

Grok hakkındaki bildirim, saldırganların ajanın işlemesi istenen içeriği manipüle ettiği ve ardından ajanın meşru izinlerinden yararlandığı daha geniş bir örüntünün parçası.

Microsoft 365 Copilot’taki EchoLeak, hazırlanmış bir e-postanın asistana sunulan verileri uzaktan ve kimlik doğrulaması gerektirmeden sızdırmasını sağlayabilen sıfır tıklamalı bir prompt injection açığı olarak tanımlandı. Akademik bir vaka çalışması bu sorunu CVE-2025-32711 olarak belirtiyor.

Microsoft Copilot Personal hakkında yayımlanan ayrı bir haberde ise CoSnitch zinciri ele alındı. Araştırmacılara göre hazırlanmış bir bağlantı, bağlı uygulamalardan veri alınmasını ve dışarı sızdırılmasını tetikleyebiliyordu; Microsoft’un 18 Ağustos 2026’da yamaları yayımladığı bildirildi.

Kodlama ajanlarında benzer risk, web sayfaları yerine yazılım depoları üzerinden ortaya çıkıyor. Adversa, kötü amaçlı depoların Claude Code, Cursor CLI, Gemini CLI ve Copilot CLI gibi çeşitli kodlama yardımcılarında güven ve yapılandırma davranışlarından yararlanarak geniş ayrıcalıklara sahip saldırgan kontrollü MCP sunucularını çalıştırabildiğini bildirdi. Başka bir Adversa raporu da uzun shell komutu zincirleri üzerinden politika denetimlerinin aşılmasını ve olası kimlik bilgisi ya da sır hırsızlığını anlattı.

Saldırının taşıyıcısı e-posta, URL, belge, depo, şifreli web sayfası veya araç entegrasyonu olabilir. Mimari ders ise aynı: Bir ajan, saldırganın kontrolündeki içeriği gizli verileri okuma ya da harici bir eylem gerçekleştirme yetkisine dönüştürmemeli.

Daha geniş güvenlik sonucu

Cryptographic Context Injection, ajan güvenliğinin yalnızca bağlam penceresine ilk giren metni taramakla sağlanamayacağını gösteriyor. Bir ajan talimatlarla; şifre çözme, veri getirme, ayrıştırma, kod çalıştırma, bellek erişimi veya başka bir araç çağrısından sonra da karşılaşabilir. Her dönüşümde verinin kaynağı unutulursa saldırgan, sistemin güvenilmeyen olarak sınıflandırdığı içerikle çalışma zamanının daha sonra güvenilir kabul ettiği içerik arasındaki boşluktan yararlanabilir.

Kullanıcılar açısından pratik ders şu: Özel konuşmalara veya araçlara erişimi olan bir ajandan tanımadıkları web sayfalarını, belgeleri, bağlantıları ya da depoları işlemesini isterken dikkatli olmak gerekiyor. Geliştiriciler için öncelik daha kapsamlı: çalışma zamanında güven sınırlarını zorlamak, hassas bağlama erişimi sınırlamak, araç parametrelerini kısıtlamak, ağdan dışarı veri çıkışını denetlemek ve yüksek etkili işlemleri görünür ve onaylanabilir hale getirmek.

Bu nedenle bildirilen Grok tekniği “AES’in kırılması” olarak değil, yetkinin güvenilmeyen içerik üzerinden aklanmasına dair bir uyarı olarak anlaşılmalı. Şifreli içerik bir talimatı filtreden gizleyebilir; ancak bu gizli talimatı veri hırsızlığına dönüştürebilen şey, izinleri fazla geniş ve güven sınırları zayıf bir ajan çalışma zamanıdır.