Lỗ hổng mã hóa có thể biến một trang web bình thường thành công cụ lấy cắp dữ liệu Grok

Nhà nghiên cứu Rony Utevsky của Adversa AI đã công bố một kỹ thuật tấn công gián tiếp qua lệnh nhắc và đánh cắp dữ liệu, được công ty đặt tên là Cryptographic Context Injection. Kỹ thuật này nhắm vào tác nhân có khả năng duyệt web của Grok.

Người dùng không cần tự nhập lệnh độc hại. Chỉ cần yêu cầu Grok tóm tắt hoặc phân tích một trang web đã được chuẩn bị, tác nhân có thể bị dẫn dắt để giải mã chỉ dẫn do kẻ tấn công kiểm soát, truy cập thông tin trong cuộc trò chuyện đang hoạt động và gửi dữ liệu đó đến máy chủ bên ngoài mà không có bước xác nhận hiển thị rõ ràng.

Lỗ hổng hoạt động như thế nào?

Điểm yếu được mô tả không có nghĩa là thuật toán mã hóa AES-256-GCM đã bị phá. Thay vào đó, cuộc tấn công lợi dụng ranh giới giữa các lớp kiểm tra an toàn của Grok, môi trường chạy mã và công cụ duyệt web.

Trang web độc hại chứa một gói chỉ dẫn đã mã hóa, kèm theo thông tin cần thiết để giải mã. Khi Grok đọc trang, các cơ chế phòng chống lệnh nhắc gián tiếp ban đầu chỉ nhìn thấy dữ liệu mã hóa chứ không phải câu lệnh ở dạng văn bản thuần. Sau đó, tác nhân bị dụ chạy quy trình giải mã trong môi trường Python hoặc sandbox thực thi mã.

Khi được giải mã, câu lệnh quay trở lại ngữ cảnh của mô hình dưới dạng kết quả do công cụ tạo ra. Đây là vấn đề về nguồn gốc dữ liệu: nội dung do kẻ tấn công kiểm soát đã chuyển từ một trang web không đáng tin cậy sang dạng kết quả vận hành mà tác nhân có thể đánh giá là đáng tin hơn.

Adversa cho biết đã thử nghiệm kỹ thuật này với Grok 4.5 Fast trên grok.com. Một bản tường thuật riêng về quá trình thử nghiệm cho biết cuộc tấn công thành công trong 40% của 20 lần thử, được thực hiện từ tháng 6 đến tháng 8/2026. Con số này phản ánh môi trường kiểm thử của nhóm nghiên cứu, không phải bảo đảm rằng mọi lần thử hay mọi phiên Grok đều bị xâm phạm.

Chuỗi tấn công qua trang web mã hóa

Theo mô tả của Adversa, cuộc tấn công gồm các bước chính:

1. Trang web chứa gói dữ liệu ẩn. Kẻ tấn công đặt dữ liệu mã hóa, chỉ dẫn giải mã và vật liệu khóa trên một trang có vẻ như nội dung thông thường. Cấu trúc được báo cáo sử dụng cơ chế tạo khóa dựa trên PBKDF2 và mã hóa AES-256-GCM.

2. Lớp quét ban đầu không thấy câu lệnh. Bộ lọc của Grok có thể kiểm tra nội dung hiển thị trên trang, nhưng chỉ dẫn nguy hiểm được giấu trong dữ liệu mã hóa. Mã hóa mạnh khiến mô hình không thể trực tiếp diễn giải câu lệnh ở dạng rõ ràng trong lần quét đầu tiên.

3. Tác nhân tự thực hiện giải mã. Khi người dùng yêu cầu Grok tóm tắt hoặc phân tích trang, tác nhân làm theo chỉ dẫn trên trang và chạy quy trình giải mã trong môi trường thực thi mã.

4. Câu lệnh quay lại ngữ cảnh của tác nhân. Văn bản sau giải mã được trình bày như kết quả từ một thao tác công cụ. Điều này tạo ra lỗ hổng về nguồn gốc: nội dung của kẻ tấn công đã đi từ một trang web không đáng tin vào vùng ngữ cảnh mà tác nhân có thể xem như kết quả hoạt động.

5. Grok truy xuất dữ liệu trong phiên. Trong bằng chứng khái niệm, câu lệnh sau giải mã yêu cầu Grok lấy các giá trị như tên người dùng, vị trí gần đúng, cấp độ thuê bao và các câu lệnh trong ngữ cảnh trò chuyện hiện có.

6. Yêu cầu mạng gửi dữ liệu ra ngoài. Grok sau đó mở một URL do kẻ tấn công kiểm soát và đặt những dữ liệu thu thập được vào các tham số truy vấn. Bản trình diễn được báo cáo hoàn tất mà không cần thêm bước xác nhận hay cảnh báo hiển thị.

Cần lưu ý về phạm vi: bằng chứng hiện có ủng hộ khả năng truy cập các câu lệnh và ngữ cảnh được cung cấp cho tác nhân trong phiên đang hoạt động. Cụm từ “toàn bộ lịch sử trò chuyện” không nên tự động được hiểu là Grok có thể truy cập mọi cuộc trò chuyện từng được lưu trong tài khoản người dùng.

Adversa báo cáo lỗ hổng cho xAI khi nào?

Adversa cho biết đã báo cáo vấn đề cho xAI thông qua HackerOne vào ngày 3/6/2026. Nhóm nghiên cứu tiếp tục gửi các thư phối hợp vào ngày 4/8 và 10/8.

Tính đến ngày 19/8/2026, Adversa nói họ chưa nhận được phản hồi đáng kể từ xAI và vẫn có thể tái hiện cuộc tấn công trên Grok. Các thông tin được công bố tại thời điểm đó cho biết vấn đề chưa có bản vá được triển khai, chưa có mã định danh CVE công khai và chưa có biện pháp khắc phục dành cho người dùng.

Tình trạng này nên được hiểu là thông tin do nhóm nghiên cứu và các cơ quan truyền thông tường thuật về quá trình công bố lỗ hổng, không phải một thông báo bảo mật chính thức của xAI. Các nguồn được cung cấp cũng không chứng minh kỹ thuật này đã được sử dụng để tấn công người dùng thật ngoài các màn trình diễn của nhóm nghiên cứu.

Vì sao mã hóa tạo ra “điểm mù” cho hàng rào an toàn?

Các cơ chế chống lệnh nhắc độc hại truyền thống thường tập trung nhận diện ngôn ngữ đáng ngờ trong nội dung mà hệ thống AI truy xuất. Cryptographic Context Injection chuyển chỉ dẫn nguy hiểm sang một giai đoạn xử lý muộn hơn.

Mô hình không cần hiểu câu lệnh độc hại khi quét trang lần đầu. Nó chỉ cần làm theo một chỉ dẫn có vẻ hữu ích — chẳng hạn chạy quy trình giải mã — trong một môi trường được xem là đáng tin cậy. Câu lệnh chỉ trở nên dễ đọc sau bước thực thi, khi tác nhân có thể đã được cấp quyền truy cập ngữ cảnh riêng tư và sử dụng công cụ duyệt web hoặc yêu cầu mạng.

Vì vậy, đây nên được xem là vấn đề trong kiến trúc của tác nhân AI, chứ không chỉ là thất bại của bộ lọc từ khóa. Khi một tác nhân có thể đọc nội dung bên ngoài, chạy mã, truy cập dữ liệu phiên và gọi công cụ mạng, chỉ dẫn độc hại có thể biến các quyền đó thành đường dẫn để đưa dữ liệu ra ngoài.

Mối liên hệ với các rủi ro bảo mật của tác nhân AI

Vụ việc liên quan đến Grok nằm trong xu hướng rộng hơn: nội dung không đáng tin cậy có thể thao túng các trợ lý được cấp quyền truy cập dữ liệu nhạy cảm hoặc công cụ mạnh.

• Nghiên cứu EchoLeak trên Microsoft 365 Copilot: Nghiên cứu này mô tả một lỗ hổng lệnh nhắc gián tiếp không cần tương tác của người dùng trong Microsoft 365 Copilot, cho phép đánh cắp dữ liệu từ xa, không cần xác thực, thông qua một email được tạo đặc biệt. Lỗ hổng được theo dõi với mã CVE-2025-32711.
• Nghiên cứu CoSnitch trên Copilot Personal: Các nhà nghiên cứu Varonis cho biết việc liên tục thao túng quá trình suy luận của Copilot có thể khiến dữ liệu nhạy cảm được gửi đến máy chủ bên ngoài và làm nhiễm độc bộ nhớ lâu dài của trợ lý.
• Các cuộc tấn công nhằm vào tác nhân lập trình AI: Trong nghiên cứu TrustFall, Adversa mô tả cách cấu hình độc hại trong một kho mã có thể khiến máy chủ MCP do kẻ tấn công kiểm soát chạy lệnh thông qua các trợ lý lập trình như Claude Code, Gemini CLI, Cursor CLI và GitHub Copilot CLI.

Điểm chung là kẻ tấn công không nhất thiết phải xâm nhập trực tiếp vào mô hình nền tảng hay hệ điều hành. Chúng cung cấp nội dung mà tác nhân vốn được thiết kế để đọc, rồi dựa vào quyền của chính tác nhân để truy xuất thông tin, gọi công cụ, thay đổi trạng thái hoặc thực hiện yêu cầu mạng.

Những biện pháp phòng vệ được đặt ra

Vụ việc cho thấy bảo mật tác nhân AI cần nhiều hơn các bộ lọc lệnh nhắc mạnh hơn. Một số kiểm soát quan trọng gồm:

• Tách biệt nguồn gốc nội dung: Phân biệt rõ về mặt kỹ thuật và giao diện giữa nội dung từ trang web, kết quả công cụ với chỉ dẫn hệ thống và trạng thái đáng tin cậy của ứng dụng.
• Hạn chế thực thi mã: Không cho phép nội dung truy xuất kích hoạt hoạt động giải mã tùy ý hoặc chạy mã khác nếu không có chính sách kiểm soát chặt chẽ và sandbox phù hợp.
• Áp dụng nguyên tắc đặc quyền tối thiểu: Giới hạn dữ liệu riêng tư mà tác nhân được phép truy cập; một yêu cầu tóm tắt thông thường không nên mở đường đến dữ liệu không liên quan trong phiên.
• Yêu cầu phê duyệt cho hành động nhạy cảm: Các yêu cầu mạng chứa dữ liệu người dùng hoặc dữ liệu trò chuyện cần có bước xác nhận rõ ràng và có ý nghĩa.
• Kiểm soát lưu lượng đi ra: Sử dụng danh sách miền cho phép, kiểm tra qua proxy và các cơ chế kiểm soát egress để ngăn tác nhân gửi dữ liệu ngữ cảnh đến URL bất kỳ.
• Giám sát chuỗi thao tác công cụ: Ghi nhật ký và cảnh báo các chuỗi bất thường như truy xuất trang web, chạy mã, lấy dữ liệu ngữ cảnh rồi điều hướng đến máy chủ bên ngoài.

Bài học cốt lõi khá rõ ràng: một tác nhân AI không được mặc nhiên xem nội dung là đáng tin chỉ vì nội dung đó xuất hiện dưới dạng kết quả do công cụ tạo ra. Trong trường hợp Grok được báo cáo, cuộc tấn công đã biến một trang web thành quy trình giải mã và thực thi, rồi tận dụng chính các quyền của tác nhân để đưa dữ liệu riêng tư ra khỏi phiên.