換句話講，攻擊者唔係直接將「請交出聊天紀錄」寫在網頁明文上，而係將指令先加密，再利用 Grok 自己的程式執行能力將它解密。過濾器可能睇唔到指令，但代理人之後卻可能將解密結果當成自己工具產生的可信輸出。

可能外洩咩資料？

按 Adversa AI 的披露，受害者只需要求 Grok 摘要一個由攻擊者控制的頁面，便可能面對嚴重的機密性風險：完整聊天歷史和提示詞，連同個人資料及工作階段元數據，都有機會被外洩。

不過，現有資料主要來自 Adversa AI 的漏洞披露及同期報道；截至披露時，未見 xAI 公開回應或公布修復時間表，亦沒有獨立發表的 xAI 聲明可確認相關狀態。

何時通知 xAI？目前修復了未？

Adversa AI 表示，Utevsky 已於 2026 年 6 月 3 日 通知 xAI，並透過 HackerOne——一個供企業處理漏洞及獎勵計劃的平台——提交報告。到 Adversa AI 在 2026 年 8 月 20 日 公開披露時，問題據報在多次跟進後仍然未解決，持續超過兩個月。

根據當時可見的資料，未有公開修補程式、正式回應或明確處理時間表。這個狀態主要建基於 Adversa AI 的披露和同期報道，未能視為 xAI 已確認的官方立場。

Adversa AI 建議點樣修補？

Adversa AI 認為，單靠加強提示注入過濾器並不足夠，真正要修理的是代理人的 runtime harness（執行環境控制層）：

• 保留資料來源和污染標籤，確保來自網頁的資料即使經過解析或程式執行，仍然被視為不可信。
• 禁止不可信內容或由它衍生的數值呼叫高權限工具、讀取私人對話／工作階段資料，或者控制工具參數。
• 加入對外傳輸控制，並在代理人準備將敏感語境傳送到新的外部目的地前，要求用戶作出清晰、真正有意義的同意。

這種做法的核心概念係「來源追蹤」：系統唔應該因為一段資料經過模型、工具或程式處理，就自動將它升格為可信指令。

同 Microsoft Copilot 及 AI 編程代理攻擊有咩關係？

呢宗披露屬於更大範圍的 AI 代理安全問題。代理人往往同時接觸不可信內容、私人語境、程式執行、持久記憶，以及可以採取行動的工具；但大型語言模型並不能可靠分辨「資料」同「指令」。

• Microsoft 365 Copilot 曾出現名為 EchoLeak 的零點擊提示注入漏洞。攻擊者可以透過精心製作的電郵，令系統在沒有遠端身份驗證的情況下外洩它能夠存取的組織資料。
• 近期研究人員亦披露 Microsoft Copilot Personal 的攻擊鏈，涉及特製連結、從已連接應用程式抽取資料，以及污染持久記憶；Microsoft 據報已在伺服器端修補至少一個相關問題。
• AI 編程助手則面對類似的「程式碼庫供應鏈」風險：惡意專案檔案、設定檔或工具定義可能被當成指令。一旦代理人獲得檔案系統、Shell、網絡或 MCP 工具權限，便可能被誘導竊取憑證、執行任意程式碼或外洩資料。

真正問題唔係「加密太強」，而係權限設計

加密載荷可以避開只分析可見文字的提示過濾器，但更根本的問題係架構設計：代理人不應該將任何不可信輸入——無論係明文、密文、電郵、文件、網址、程式碼庫，抑或工具輸出——轉化成讀取私人資料或執行外部操作的權力。

因此，AI 代理的安全防線不能只靠模型層面的安全護欄，還需要來源感知的執行時強制規則、最小權限、受限制的工具參數、網絡對外傳輸政策，以及對敏感操作的實質確認。

換句話講，攻擊者唔係直接將「請交出聊天紀錄」寫在網頁明文上，而係將指令先加密，再利用 Grok 自己的程式執行能力將它解密。過濾器可能睇唔到指令，但代理人之後卻可能將解密結果當成自己工具產生的可信輸出。

可能外洩咩資料？

按 Adversa AI 的披露，受害者只需要求 Grok 摘要一個由攻擊者控制的頁面，便可能面對嚴重的機密性風險：完整聊天歷史和提示詞，連同個人資料及工作階段元數據，都有機會被外洩。

不過，現有資料主要來自 Adversa AI 的漏洞披露及同期報道；截至披露時，未見 xAI 公開回應或公布修復時間表，亦沒有獨立發表的 xAI 聲明可確認相關狀態。

何時通知 xAI？目前修復了未？

Adversa AI 表示，Utevsky 已於 2026 年 6 月 3 日 通知 xAI，並透過 HackerOne——一個供企業處理漏洞及獎勵計劃的平台——提交報告。到 Adversa AI 在 2026 年 8 月 20 日 公開披露時，問題據報在多次跟進後仍然未解決，持續超過兩個月。

根據當時可見的資料，未有公開修補程式、正式回應或明確處理時間表。這個狀態主要建基於 Adversa AI 的披露和同期報道，未能視為 xAI 已確認的官方立場。

Adversa AI 建議點樣修補？

Adversa AI 認為，單靠加強提示注入過濾器並不足夠，真正要修理的是代理人的 runtime harness（執行環境控制層）：

• 保留資料來源和污染標籤，確保來自網頁的資料即使經過解析或程式執行，仍然被視為不可信。
• 禁止不可信內容或由它衍生的數值呼叫高權限工具、讀取私人對話／工作階段資料，或者控制工具參數。
• 加入對外傳輸控制，並在代理人準備將敏感語境傳送到新的外部目的地前，要求用戶作出清晰、真正有意義的同意。

這種做法的核心概念係「來源追蹤」：系統唔應該因為一段資料經過模型、工具或程式處理，就自動將它升格為可信指令。

同 Microsoft Copilot 及 AI 編程代理攻擊有咩關係？

呢宗披露屬於更大範圍的 AI 代理安全問題。代理人往往同時接觸不可信內容、私人語境、程式執行、持久記憶，以及可以採取行動的工具；但大型語言模型並不能可靠分辨「資料」同「指令」。

• Microsoft 365 Copilot 曾出現名為 EchoLeak 的零點擊提示注入漏洞。攻擊者可以透過精心製作的電郵，令系統在沒有遠端身份驗證的情況下外洩它能夠存取的組織資料。
• 近期研究人員亦披露 Microsoft Copilot Personal 的攻擊鏈，涉及特製連結、從已連接應用程式抽取資料，以及污染持久記憶；Microsoft 據報已在伺服器端修補至少一個相關問題。
• AI 編程助手則面對類似的「程式碼庫供應鏈」風險：惡意專案檔案、設定檔或工具定義可能被當成指令。一旦代理人獲得檔案系統、Shell、網絡或 MCP 工具權限，便可能被誘導竊取憑證、執行任意程式碼或外洩資料。

真正問題唔係「加密太強」，而係權限設計

加密載荷可以避開只分析可見文字的提示過濾器，但更根本的問題係架構設計：代理人不應該將任何不可信輸入——無論係明文、密文、電郵、文件、網址、程式碼庫，抑或工具輸出——轉化成讀取私人資料或執行外部操作的權力。

因此，AI 代理的安全防線不能只靠模型層面的安全護欄，還需要來源感知的執行時強制規則、最小權限、受限制的工具參數、網絡對外傳輸政策，以及對敏感操作的實質確認。