换句话说，攻击者并非直接要求模型“泄露聊天记录”，而是先让模型自己完成解密，再把解密结果包装成运行时产生的内容。过滤器看到的只是密文，代理执行的却是其中的指令。

影响范围与披露进展

Adversa称，受影响用户可能在只要求Grok总结攻击者托管网页的情况下，暴露完整聊天历史和提示词，以及姓名、位置和账户订阅等配置或会话元数据。这意味着攻击者不一定需要诱使用户点击“发送数据”之类的按钮，风险可能发生在代理按照正常任务处理网页的过程中。

据报道，Utevsky于2026年6月3日向xAI报告了该问题，并通过HackerOne提交漏洞报告。Adversa在8月20日公开披露时称，问题在多次跟进后已经超过两个月仍未解决。

现有材料显示，截至当时，xAI没有公开回应或公布修复时间表。需要说明的是，这一状态判断主要依据Adversa的披露和同期报道；目前没有独立公开的xAI声明可用于确认其处理进展。

Adversa建议修复的重点

Adversa认为，单纯加强提示词过滤并不足以解决问题，修复重点应放在代理的运行时“安全护栏”或运行时框架上：

• 保留来源和污染标记。 只要数据来自网页，即使经过了解析、解密或代码执行，也应继续被标记为不可信内容。
• 隔离不可信内容的权限。 来自不可信来源的内容及其派生值，不应调用特权工具、读取私人对话或会话上下文，也不应直接控制工具参数。
• 限制数据外传。 代理向新的外部目的地发送敏感上下文前，应执行网络出口控制，并要求明确、有效的用户同意。

核心原则是：数据经过处理，并不意味着它自动获得了指令权限。解密结果、网页摘要、脚本输出和工具返回值，都需要继承原始来源的信任等级。

与Copilot及AI编程代理攻击的联系

这起事件属于更广泛的AI代理安全问题：代理同时拥有不可信输入、机密上下文、代码执行能力、持久化状态和可执行操作工具，但大语言模型并不能稳定地区分“数据”和“指令”。

• Microsoft 365 Copilot曾出现EchoLeak零点击提示注入漏洞。攻击者可以通过精心制作的电子邮件，远程、未经身份验证地诱导系统外传其能够访问的组织数据。
• 研究人员近期还披露了针对Copilot Personal的攻击链，涉及恶意链接、从已连接应用中提取数据以及持久记忆污染；据报道，微软已在服务器端修复至少一个相关问题。
• AI编程助手则面临类似的“代码仓库供应链”风险：恶意项目文件、配置文件或工具定义可能被代理当作指令。一旦代理拥有文件系统、Shell、网络或MCP工具权限，就可能被诱导窃取凭据、执行任意代码或外传数据。

更大的安全启示

加密载荷确实可能绕过只依赖内容识别的提示注入过滤器，但真正暴露的是架构问题：代理不能把任何不可信输入——无论是明文、密文、电子邮件、文档、URL、代码仓库，还是工具输出——转换成访问私人数据或执行外部操作的权限。

因此，AI代理安全不能只依靠模型层面的安全对齐或提示词防护，还需要来源感知的运行时强制机制、最小权限设计、受限的工具参数、网络出口策略，以及对敏感操作设置真正有意义的确认步骤。

换句话说，攻击者并非直接要求模型“泄露聊天记录”，而是先让模型自己完成解密，再把解密结果包装成运行时产生的内容。过滤器看到的只是密文，代理执行的却是其中的指令。

影响范围与披露进展

Adversa称，受影响用户可能在只要求Grok总结攻击者托管网页的情况下，暴露完整聊天历史和提示词，以及姓名、位置和账户订阅等配置或会话元数据。这意味着攻击者不一定需要诱使用户点击“发送数据”之类的按钮，风险可能发生在代理按照正常任务处理网页的过程中。

据报道，Utevsky于2026年6月3日向xAI报告了该问题，并通过HackerOne提交漏洞报告。Adversa在8月20日公开披露时称，问题在多次跟进后已经超过两个月仍未解决。

现有材料显示，截至当时，xAI没有公开回应或公布修复时间表。需要说明的是，这一状态判断主要依据Adversa的披露和同期报道；目前没有独立公开的xAI声明可用于确认其处理进展。

Adversa建议修复的重点

Adversa认为，单纯加强提示词过滤并不足以解决问题，修复重点应放在代理的运行时“安全护栏”或运行时框架上：

• 保留来源和污染标记。 只要数据来自网页，即使经过了解析、解密或代码执行，也应继续被标记为不可信内容。
• 隔离不可信内容的权限。 来自不可信来源的内容及其派生值，不应调用特权工具、读取私人对话或会话上下文，也不应直接控制工具参数。
• 限制数据外传。 代理向新的外部目的地发送敏感上下文前，应执行网络出口控制，并要求明确、有效的用户同意。

核心原则是：数据经过处理，并不意味着它自动获得了指令权限。解密结果、网页摘要、脚本输出和工具返回值，都需要继承原始来源的信任等级。

与Copilot及AI编程代理攻击的联系

这起事件属于更广泛的AI代理安全问题：代理同时拥有不可信输入、机密上下文、代码执行能力、持久化状态和可执行操作工具，但大语言模型并不能稳定地区分“数据”和“指令”。

• Microsoft 365 Copilot曾出现EchoLeak零点击提示注入漏洞。攻击者可以通过精心制作的电子邮件，远程、未经身份验证地诱导系统外传其能够访问的组织数据。
• 研究人员近期还披露了针对Copilot Personal的攻击链，涉及恶意链接、从已连接应用中提取数据以及持久记忆污染；据报道，微软已在服务器端修复至少一个相关问题。
• AI编程助手则面临类似的“代码仓库供应链”风险：恶意项目文件、配置文件或工具定义可能被代理当作指令。一旦代理拥有文件系统、Shell、网络或MCP工具权限，就可能被诱导窃取凭据、执行任意代码或外传数据。

更大的安全启示

加密载荷确实可能绕过只依赖内容识别的提示注入过滤器，但真正暴露的是架构问题：代理不能把任何不可信输入——无论是明文、密文、电子邮件、文档、URL、代码仓库，还是工具输出——转换成访问私人数据或执行外部操作的权限。

因此，AI代理安全不能只依靠模型层面的安全对齐或提示词防护，还需要来源感知的运行时强制机制、最小权限设计、受限的工具参数、网络出口策略，以及对敏感操作设置真正有意义的确认步骤。