Grok 被揭可遭「加密語境注入」攻擊：普通網頁點解可以偷走聊天紀錄？

一個外表平平無奇的網頁，可能不只是叫 AI「幫手摘要」咁簡單。Adversa AI 研究員 Rony Utevsky 公開了一種名為 Cryptographic Context Injection（加密語境注入） 的攻擊方式，指 xAI 的 Grok 網頁代理可能在用戶要求摘要或分析惡意網頁時，解密攻擊者指令，並將私人工作階段資料傳送到攻擊者控制的伺服器。

重點未必係 AES-256-GCM 本身有問題，而係 Grok 的代理執行環境，據報會將攻擊者控制、但經解密後產生的內容當成可信語境，並容許它驅動具權限的對外瀏覽行為。

「加密語境注入」點樣運作？

• 惡意網頁會放入一段加密 JSON、解密步驟，以及所需的金鑰資料。Adversa AI 表示，載荷使用 AES-256-GCM，並以 PBKDF2 衍生金鑰；對只會分類文字、而不會執行加密程式碼的靜態提示注入過濾器來講，真正指令會以密文形式隱藏起來。
• 當 Grok 被要求處理該網頁，攻擊者便誘使它在 Python／沙盒執行環境內運行頁面提供的解密程式。解密後的明文會成為工具或執行環境輸出的一部分，據報不再被視為不可信的網頁內容，反而被當成可信語境處理。
• 載荷接着指示 Grok 讀取私人工作階段資料，包括用戶姓名、約略位置、訂閱級別，以及對話中的提示詞和歷史紀錄，再將資料插入一個網址，假稱需要取得更多語境而開啟該網址。Adversa AI 的示範顯示，資料可以透過請求參數傳到攻擊者端點，而且過程中沒有明顯警告或確認畫面。

換句話講，攻擊者唔係直接將「請交出聊天紀錄」寫在網頁明文上，而係將指令先加密，再利用 Grok 自己的程式執行能力將它解密。過濾器可能睇唔到指令，但代理人之後卻可能將解密結果當成自己工具產生的可信輸出。

可能外洩咩資料？

按 Adversa AI 的披露，受害者只需要求 Grok 摘要一個由攻擊者控制的頁面，便可能面對嚴重的機密性風險：完整聊天歷史和提示詞，連同個人資料及工作階段元數據，都有機會被外洩。

不過，現有資料主要來自 Adversa AI 的漏洞披露及同期報道；截至披露時，未見 xAI 公開回應或公布修復時間表，亦沒有獨立發表的 xAI 聲明可確認相關狀態。

何時通知 xAI？目前修復了未？

Adversa AI 表示，Utevsky 已於 2026 年 6 月 3 日 通知 xAI，並透過 HackerOne——一個供企業處理漏洞及獎勵計劃的平台——提交報告。到 Adversa AI 在 2026 年 8 月 20 日 公開披露時，問題據報在多次跟進後仍然未解決，持續超過兩個月。

根據當時可見的資料，未有公開修補程式、正式回應或明確處理時間表。這個狀態主要建基於 Adversa AI 的披露和同期報道，未能視為 xAI 已確認的官方立場。

Adversa AI 建議點樣修補？

Adversa AI 認為，單靠加強提示注入過濾器並不足夠，真正要修理的是代理人的 runtime harness（執行環境控制層）：

• 保留資料來源和污染標籤，確保來自網頁的資料即使經過解析或程式執行，仍然被視為不可信。
• 禁止不可信內容或由它衍生的數值呼叫高權限工具、讀取私人對話／工作階段資料，或者控制工具參數。
• 加入對外傳輸控制，並在代理人準備將敏感語境傳送到新的外部目的地前，要求用戶作出清晰、真正有意義的同意。

這種做法的核心概念係「來源追蹤」：系統唔應該因為一段資料經過模型、工具或程式處理，就自動將它升格為可信指令。

同 Microsoft Copilot 及 AI 編程代理攻擊有咩關係？

呢宗披露屬於更大範圍的 AI 代理安全問題。代理人往往同時接觸不可信內容、私人語境、程式執行、持久記憶，以及可以採取行動的工具；但大型語言模型並不能可靠分辨「資料」同「指令」。

• Microsoft 365 Copilot 曾出現名為 EchoLeak 的零點擊提示注入漏洞。攻擊者可以透過精心製作的電郵，令系統在沒有遠端身份驗證的情況下外洩它能夠存取的組織資料。
• 近期研究人員亦披露 Microsoft Copilot Personal 的攻擊鏈，涉及特製連結、從已連接應用程式抽取資料，以及污染持久記憶；Microsoft 據報已在伺服器端修補至少一個相關問題。
• AI 編程助手則面對類似的「程式碼庫供應鏈」風險：惡意專案檔案、設定檔或工具定義可能被當成指令。一旦代理人獲得檔案系統、Shell、網絡或 MCP 工具權限，便可能被誘導竊取憑證、執行任意程式碼或外洩資料。

真正問題唔係「加密太強」，而係權限設計

加密載荷可以避開只分析可見文字的提示過濾器，但更根本的問題係架構設計：代理人不應該將任何不可信輸入——無論係明文、密文、電郵、文件、網址、程式碼庫，抑或工具輸出——轉化成讀取私人資料或執行外部操作的權力。

因此，AI 代理的安全防線不能只靠模型層面的安全護欄，還需要來源感知的執行時強制規則、最小權限、受限制的工具參數、網絡對外傳輸政策，以及對敏感操作的實質確認。