Як атака Cryptographic Context Injection націлена на Grok

У демонстрації Adversa, за повідомленнями компанії, до пакета даних потрапляли ім’я користувача, приблизне місцезнаходження, рівень підписки, промпти та історія розмов. Компанія заявила, що передавання завершувалося без видимого попередження чи запиту на підтвердження.

Чому справжньою межею захисту є середовище виконання

Ключова проблема полягає не лише в тому, що Grok показали шкідливий промпт. За описом дослідників, дані з ненадійної вебсторінки перетнули кілька меж довіри:

• вміст вебсторінки став виконуваним або придатним для дії контекстом;
• розшифрований результат отримав більше довіри, ніж заслуговувало його походження;
• приватний контекст розмови або сесії став доступним для ланцюжка атаки;
• агент отримав можливість винести ці дані за межі сесії через зовнішній запит.

Інструкція не стає надійною лише тому, що її породила процедура розшифрування, повернув інструмент або сформував проміжний результат середовища виконання. Система має зберігати інформацію про походження даних на всіх етапах. Інакше зловмисник може використати розбір, виконання коду, пошук або результат роботи інструмента, щоб надати ненадійному вмісту видимість авторитетної команди.

Розкриття проблеми та її статус

За даними Adversa, Утевський повідомив про проблему xAI та подав її через HackerOne 3 червня 2026 року. У розкритті, опублікованому 20 серпня, Adversa заявила, що після подальших звернень проблема залишалася невирішеною понад два місяці.

На момент публікації розкриття доступні матеріали не містили публічної відповіді xAI, ідентифікатора CVE, опису виправлення чи графіка усунення проблеми. Цей статус ґрунтується на повідомленні дослідників і тогочасних публікаціях; незалежно оприлюдненої заяви xAI, яка підтверджувала б сам факт проблеми або її виправлення, у наведених матеріалах немає.

Що потрібно виправити

Рекомендації Adversa стосуються передусім середовища виконання агента, а не додавання нових фільтрів за ключовими словами. Найважливіші заходи такі:

• Зберігати походження та мітки забруднення даних. Вміст, отриманий із вебсторінки, має залишатися ненадійним після розбору, розшифрування, виконання коду чи використання інструментів.
• Відокремити дані від повноважень. Ненадійний вміст і значення, похідні від нього, не повинні викликати привілейовані інструменти, отримувати доступ до приватного контексту розмови або визначати чутливі параметри інструментів.
• Обмежити вихідний трафік. Перед передаванням інформації на нову зовнішню адресу агент має застосовувати списки дозволених напрямків, контроль призначення та політики запобігання витоку даних.
• Вимагати змістовної згоди. Дії, що стосуються приватного контексту або передавання даних назовні, мають потребувати чіткого підтвердження із поясненням, які саме дані залишать сесію і куди вони вирушать.
• Дотримуватися принципу найменших привілеїв. Запит на підсумовування не повинен автоматично відкривати доступ до всієї історії чатів, метаданих профілю, виконання коду або необмеженого мережевого доступу.

Ці заходи спрямовані на небезпечне поєднання ненадійного введення, приватного контексту, виконання коду та інструментів, здатних виконувати дії. Самої поведінки моделі, яка відмовляється від шкідливих запитів, недостатньо як межі безпеки.

Порівняння з іншими атаками на AI-агентів

Повідомлення про Grok вписується у ширшу тенденцію: зловмисник маніпулює вмістом, який агент має опрацювати, а потім використовує легітимні дозволи цього агента для завершення атаки.

EchoLeak у Microsoft 365 Copilot описували як уразливість непрямої ін’єкції промпту без взаємодії з боку користувача. Сформований електронний лист міг уможливити віддалене неавтентифіковане викрадення даних, доступних асистенту. В академічному дослідженні проблему ідентифіковано як CVE-2025-32711.

В окремих публікаціях про Microsoft Copilot Personal описано ланцюжок CoSnitch: спеціально сформоване посилання могло запустити виконання промпту та викрадення даних із під’єднаних застосунків. Дослідники заявили, що Microsoft випустила виправлення 18 серпня 2026 року.

Схожі ризики мають і програмні агенти для розробників, але там вектором атаки стають репозиторії, а не вебсторінки. Adversa повідомляла, що шкідливі репозиторії можуть використовувати довіру та налаштування кількох асистентів, зокрема Claude Code, Cursor CLI, Gemini CLI та Copilot CLI, щоб запускати MCP-сервери, контрольовані зловмисником, із потенційно широкими привілеями. В іншому звіті Adversa описала обхід політик у репозиторії через довгі ланцюжки shell-команд із можливим викраденням облікових даних або секретів.

Механізми доставки різні — електронний лист, URL, документ, репозиторій, зашифрована вебсторінка чи інтеграція з інструментом. Але архітектурний висновок однаковий: агент не повинен перетворювати вміст, контрольований зловмисником, на дозвіл читати конфіденційні дані або виконувати зовнішню дію.

Ширший висновок для безпеки

Cryptographic Context Injection показує, чому захист агентів не може обмежуватися скануванням тексту, який першим потрапляє у вікно контексту. Інструкції можуть з’явитися після розшифрування, пошуку, розбору, виконання коду, доступу до пам’яті або іншого виклику інструмента. Якщо під час кожного перетворення система втрачає інформацію про походження даних, зловмисник отримує можливість скористатися розривом між тим, що класифікується як ненадійне, і тим, що середовище виконання згодом сприймає як довірене.

Для користувачів практичний висновок простий: обережно доручайте агенту з доступом до приватних розмов або інструментів опрацьовувати незнайомі вебсторінки, документи, посилання чи репозиторії. Для розробників вимоги жорсткіші: потрібно посилити межі довіри в середовищі виконання, обмежити доступ до чутливого контексту, контролювати параметри інструментів, фільтрувати вихідний мережевий трафік і зробити ризиковані дії видимими та такими, що потребують підтвердження.

Отже, описану техніку Grok варто розуміти не як «злам AES», а як попередження про підміну повноважень. Шифрування може приховати інструкцію від фільтра, але лише надто дозвільне середовище виконання здатне перетворити цю приховану інструкцію на дію з викрадення даних.