Grok’un “Cryptographic Context Injection” saldırısı sohbet verilerini nasıl sızdırabiliyor?

Adversa, tekniği grok.com üzerindeki Grok 4.5 Fast sürümüne karşı test ettiğini bildirdi. Testlere ilişkin ayrı bir aktarımda, Haziran ile Ağustos 2026 arasında yapılan 20 denemenin yüzde 40’ında başarı elde edildiği belirtildi. Bu oran yalnızca araştırmacıların test ortamını anlatıyor; her denemenin veya her Grok oturumunun ele geçirileceği anlamına gelmiyor.

Şifreli web sayfası saldırısı nasıl işliyor?

Bildirilen saldırı zinciri birkaç aşamadan oluşuyor:

1. Sayfaya gizli yük yerleştiriliyor. Saldırgan, sıradan görünen bir web sayfasına şifreli veri, şifre çözme talimatları ve anahtar materyali ekliyor. Bildirilen yöntemde PBKDF2 ile türetilmiş anahtar ve AES-256-GCM şifrelemesi kullanılıyor.

2. İlk tarama komutu göremiyor. Grok, sayfanın görünen içeriğini inceleyebiliyor ancak tehlikeli talimat şifrelenmiş verinin içinde saklanıyor. Güçlü şifreleme, modelin ilk aşamada düz metin komutu anlamasını engelliyor.

3. Ajan şifreyi çözüyor. Kullanıcı Grok’tan sayfayı özetlemesini veya analiz etmesini istediğinde ajan, sayfadaki yönlendirmeleri izleyerek şifre çözme işlemini kendi kod çalıştırma ortamında gerçekleştiriyor.

4. Komut yeniden bağlama giriyor. Şifrelenmiş talimatın çözülmüş hali, bir araç işleminin sonucu olarak ajana sunuluyor. Böylece saldırganın kontrolündeki içerik, güvenilmeyen web sayfasından çıkıp ajanın operasyonel sonuç olarak değerlendirebileceği bir bağlama taşınıyor.

5. Grok aktif oturum verilerini topluyor. Kavram kanıtı çalışmasında çözülen talimatlar, Grok’a kullanıcının adı, yaklaşık konumu, abonelik seviyesi ve mevcut konuşma bağlamındaki istemler gibi değerleri bulmasını söylüyordu.

6. Veriler bir web isteğiyle dışarı aktarılıyor. Grok daha sonra saldırganın kontrol ettiği bir URL’yi açıyor ve topladığı değerleri URL’nin sorgu parametrelerine yerleştiriyor. Bildirilen gösterimde bu işlem, ek bir onay veya görünür bir uyarı olmadan tamamlandı.

Buradaki önemli sınırlama kapsamla ilgili. Mevcut kanıtlar, ajanın aktif oturumda erişimine açılan istemlere ve bağlama ulaşılabildiğini destekliyor. “Tüm sohbet geçmişi” ifadesi, kullanıcının hesabında saklanan her konuşmaya erişim sağlandığı şeklinde otomatik olarak yorumlanmamalı.

Açık xAI’a ne zaman bildirildi?

Adversa, sorunu 3 Haziran 2026’da HackerOne üzerinden xAI’a bildirdiğini söyledi. Araştırmacılar, koordinasyon amacıyla 4 Ağustos ve 10 Ağustos’ta ek takip mesajları gönderdi.

Adversa’nın açıklamasına göre 19 Ağustos 2026 itibarıyla xAI’dan anlamlı bir yanıt alınmamıştı ve saldırı Grok’a karşı hâlâ yeniden üretilebiliyordu. O tarihteki haberlerde ayrıca yayımlanmış bir düzeltme, CVE numarası veya kullanıcıların uygulayabileceği bir geçici çözüm bulunmadığı aktarıldı.

Bu durum, araştırmacıların ve haber kaynaklarının açıklama sürecine ilişkin aktarımı olarak değerlendirilmelidir; kamuya açık bir xAI güvenlik duyurusu değildir. Sunulan kaynaklar, tekniğin araştırmacıların gösterimleri dışında gerçek kullanıcılara karşı kullanıldığını da ortaya koymuyor.

Şifreleme neden güvenlik kontrollerinde kör nokta yaratıyor?

Geleneksel istem enjeksiyonu savunmaları çoğunlukla yapay zekâ sisteminin aldığı içerikteki şüpheli ifadeleri tanımaya odaklanır. Cryptographic Context Injection ise tehlikeli talimatı işlemenin daha sonraki bir aşamasına taşıyor.

Modelin sayfayı ilk taradığı sırada kötü amaçlı komutu anlaması gerekmiyor. Sadece şifre çözme işlemini güvenilir bir çalışma ortamında gerçekleştirmek gibi faydalı görünen bir yönlendirmeyi takip etmesi yeterli oluyor. Komut, kod çalıştırma adımından sonra okunabilir hâle geliyor; o noktada ajan özel bağlama ve web’de gezinme ya da ağ isteği yapma yetkilerine zaten sahip olabilir.

Bu nedenle sorun, yalnızca başarısız olmuş bir anahtar kelime filtresi değil, aynı zamanda bir ajan mimarisi sorunu. Bir ajan dış içerikleri okuyabiliyor, kod çalıştırabiliyor, oturum verilerine erişebiliyor ve ağ araçlarını kullanabiliyorsa kötü amaçlı bir talimat bu yetenekleri veri sızdırma kanalına dönüştürebiliyor.

Daha geniş yapay zekâ ajanı güvenliği sorununa nasıl bağlanıyor?

Grok hakkındaki açıklama, hassas verilere veya güçlü araçlara erişebilen asistanların güvenilmeyen içeriklerle yönlendirilebildiğini gösteren daha geniş bir örüntünün parçası.

• Microsoft 365 Copilot ve EchoLeak araştırması: EchoLeak vakası, hazırlanmış bir e-posta üzerinden uzaktan ve kimlik doğrulama gerektirmeden veri sızdırılmasını mümkün kılan, sıfır tıklamalı bir Microsoft 365 Copilot istem enjeksiyonu açığını belgeledi. Açık CVE-2025-32711 olarak izleniyor.
• Microsoft Copilot Personal ve CoSnitch araştırması: Varonis araştırmacıları, Copilot’un akıl yürütme sürecinin tekrar tekrar manipüle edilmesinin hassas verilerin dış sunucuya gönderilmesine ve kalıcı belleğin zehirlenmesine yol açabileceğini bildirdi.
• Yapay zekâ destekli kodlama araçlarına yönelik saldırılar: Adversa’nın TrustFall araştırması, kötü amaçlı depo yapılandırmalarının Claude Code, Gemini CLI, Cursor CLI ve GitHub Copilot CLI gibi asistanlar üzerinden saldırganın kontrolündeki bir MCP sunucusunun komut çalıştırmasına yol açabileceğini anlattı.

Ortak nokta şu: Saldırganın temel modeli veya işletim sistemini doğrudan ele geçirmesi gerekmeyebilir. Saldırgan, ajanın okuması için hazırlanmış içeriği sağlar; ardından ajanın kendi yetkileriyle bilgi toplamasına, araç çağırmasına, durumu değiştirmesine veya ağ isteği göndermesine güvenir.

Bu bulgu hangi savunmaları öne çıkarıyor?

Bildirilen saldırı, ajan güvenliğinin daha güçlü istem enjeksiyonu filtrelerinden fazlasını gerektirdiğini gösteriyor. Öne çıkan kontroller şunlar:

• Kaynak ayrımı: Web sayfaları ve araç çıktıları, sistem talimatlarından ve güvenilir uygulama durumundan hem teknik hem de görsel olarak ayrı tutulmalı.
• Kod çalıştırmayı sınırlama: Alınan içeriklerin sıkı bir politika ve güvenli bir sanal alan olmadan rastgele şifre çözme veya başka bir kod çalıştırma işlemini tetiklemesine izin verilmemeli.
• En az ayrıcalık ilkesi: Ajanın erişebileceği özel bağlam sınırlandırılmalı; basit özetleme görevleri ilgisiz oturum verilerine erişememeli.
• Hassas işlemlerde onay: Kullanıcıya veya konuşmaya ait veri içeren ağ istekleri, açık ve anlamlı bir kullanıcı onayı gerektirmeli.
• Dış ağ trafiğinin kontrolü: Alan adı izin listeleri, proxy incelemesi ve çıkış trafiği kontrolleri kullanılarak ajanın bağlam verilerini rastgele URL’lere göndermesi engellenmeli.
• Araç zincirlerinin izlenmesi: Web sayfası alma, kod çalıştırma, bağlam çıkarma ve dış adrese yönelme gibi olağandışı işlem dizileri kayda alınmalı ve uyarı üretmeli.

Temel ders basit: Bir yapay zekâ ajanı, içeriği yalnızca bir araç tarafından üretilmiş olması nedeniyle güvenilir kabul etmemeli. Grok hakkında bildirilen vakada saldırı, bir web sayfasını şifre çözme ve komut çalıştırma akışına dönüştürdü; ardından ajanın kendi yetkilerini kullanarak özel bağlamı oturumun dışına taşıdı.