換句話說，攻擊者不必把「請把聊天紀錄傳給我」直接寫在網頁上。只要讓 Grok 自己完成解密，惡意指令便可能在系統內部由「網頁內容」轉變成「工具執行結果」，並取得更高的可信度。

可能外洩哪些資料？

Adversa 將影響描述為嚴重的機密性風險。受害者只要要求 Grok 摘要攻擊者託管的網頁，依照其概念驗證流程，攻擊者便可能取得：

• 使用者姓名；
• 大致或粗略位置；
• 訂閱方案或帳戶層級；
• 目前對話中的提示詞；
• 完整聊天紀錄與其他工作階段脈絡。

目前公開資料主要來自 Adversa 的漏洞披露與同期報導，並非 xAI 發布的獨立技術確認。因此，上述內容應理解為研究團隊所報告的攻擊結果，而不是已由 xAI 公開確認的全面影響範圍。

何時通報 xAI？是否已修復？

Adversa 表示，Utevsky 已於 2026 年 6 月 3 日通知 xAI，並透過 xAI 的 HackerOne 漏洞回報管道提交報告。截至 Adversa 於 2026 年 8 月 20 日公開披露時，問題據稱在多次追蹤後仍未解決，已持續超過兩個月。

就當時可取得的資料而言，沒有看到 xAI 公開發布正式回應或修復時程。這一狀態主要依據 Adversa 的披露與同期報導；目前沒有獨立公開的 xAI 聲明可用來確認漏洞是否仍然存在，或何時會完成修補。

Adversa 建議修正代理執行環境，而不只是加強過濾器

Adversa 認為，單純改進提示注入偵測器並不足以解決問題，修復重點應放在代理的 runtime harness，也就是負責管理上下文、程式執行與工具權限的執行框架：

• 保留來源與污染標籤： 只要資料源自網頁，即使經過解析、解碼或程式執行，也應繼續被標記為不受信任內容。
• 限制不受信任內容的權限： 來源不可信的內容及其衍生值，不應直接呼叫高權限工具、讀取私人對話或工作階段資料，也不應控制工具參數。
• 加強資料外傳控制： 代理將敏感上下文傳送到新的外部目的地前，應受到網路出口政策限制，並設置明確、具意義的使用者同意機制。

與 Copilot 及 AI 程式編碼代理攻擊有何關係？

這起事件屬於更廣泛的代理式 AI 安全問題：AI 代理同時接觸不受信任內容、機密上下文、程式碼執行、持久記憶與可採取行動的工具；但大型語言模型並不可靠地區分「資料」與「指令」。

• Microsoft 365 Copilot 的 EchoLeak 被描述為零點擊提示注入漏洞。攻擊者可透過特製電子郵件，讓 Copilot 在未經遠端攻擊者驗證的情況下外洩其可存取的組織資料。
• 近期研究人員也報告了針對 Copilot Personal 的攻擊鏈，涉及特製連結、從已連接應用程式擷取資料，以及持久記憶污染；據報 Microsoft 已在伺服器端修補至少一項相關問題。
• AI 程式編碼助手則面臨類似的「儲存庫供應鏈」風險：惡意專案檔案、設定檔或工具定義可能被代理當成指令。一旦代理獲得檔案系統、Shell、網路或 MCP 工具的存取權，便可能造成憑證竊取、任意程式碼執行或資料外洩。

真正的警訊：加密只是繞過內容檢查，架構才是核心問題

這項研究顯示，加密載荷可能繞過只檢查可讀文字的提示注入防護；但更根本的弱點，是系統把不受信任的輸入轉換成了對私人資料與外部行動的控制權。

因此，AI 代理的安全設計不能只依賴模型層級的安全護欄，還需要：

• 具備來源追蹤能力的 runtime 強制執行；
• 最小權限原則；
• 限制工具可接受的參數；
• 嚴格的網路出口與資料外傳政策；
• 對讀取敏感資料或聯絡新外部目的地等高風險行動，提供真正有效的使用者確認。

對使用者而言，這也代表「只是請 AI 摘要一個網頁」未必是低風險操作。當 AI 代理能夠執行程式、讀取私人上下文並自行瀏覽網路時，任何看似普通的網頁、文件、電子郵件、網址、儲存庫或工具輸出，都可能成為攻擊入口。

換句話說，攻擊者不必把「請把聊天紀錄傳給我」直接寫在網頁上。只要讓 Grok 自己完成解密，惡意指令便可能在系統內部由「網頁內容」轉變成「工具執行結果」，並取得更高的可信度。

可能外洩哪些資料？

Adversa 將影響描述為嚴重的機密性風險。受害者只要要求 Grok 摘要攻擊者託管的網頁，依照其概念驗證流程，攻擊者便可能取得：

• 使用者姓名；
• 大致或粗略位置；
• 訂閱方案或帳戶層級；
• 目前對話中的提示詞；
• 完整聊天紀錄與其他工作階段脈絡。

目前公開資料主要來自 Adversa 的漏洞披露與同期報導，並非 xAI 發布的獨立技術確認。因此，上述內容應理解為研究團隊所報告的攻擊結果，而不是已由 xAI 公開確認的全面影響範圍。

何時通報 xAI？是否已修復？

Adversa 表示，Utevsky 已於 2026 年 6 月 3 日通知 xAI，並透過 xAI 的 HackerOne 漏洞回報管道提交報告。截至 Adversa 於 2026 年 8 月 20 日公開披露時，問題據稱在多次追蹤後仍未解決，已持續超過兩個月。

就當時可取得的資料而言，沒有看到 xAI 公開發布正式回應或修復時程。這一狀態主要依據 Adversa 的披露與同期報導；目前沒有獨立公開的 xAI 聲明可用來確認漏洞是否仍然存在，或何時會完成修補。

Adversa 建議修正代理執行環境，而不只是加強過濾器

Adversa 認為，單純改進提示注入偵測器並不足以解決問題，修復重點應放在代理的 runtime harness，也就是負責管理上下文、程式執行與工具權限的執行框架：

• 保留來源與污染標籤： 只要資料源自網頁，即使經過解析、解碼或程式執行，也應繼續被標記為不受信任內容。
• 限制不受信任內容的權限： 來源不可信的內容及其衍生值，不應直接呼叫高權限工具、讀取私人對話或工作階段資料，也不應控制工具參數。
• 加強資料外傳控制： 代理將敏感上下文傳送到新的外部目的地前，應受到網路出口政策限制，並設置明確、具意義的使用者同意機制。

與 Copilot 及 AI 程式編碼代理攻擊有何關係？

這起事件屬於更廣泛的代理式 AI 安全問題：AI 代理同時接觸不受信任內容、機密上下文、程式碼執行、持久記憶與可採取行動的工具；但大型語言模型並不可靠地區分「資料」與「指令」。

• Microsoft 365 Copilot 的 EchoLeak 被描述為零點擊提示注入漏洞。攻擊者可透過特製電子郵件，讓 Copilot 在未經遠端攻擊者驗證的情況下外洩其可存取的組織資料。
• 近期研究人員也報告了針對 Copilot Personal 的攻擊鏈，涉及特製連結、從已連接應用程式擷取資料，以及持久記憶污染；據報 Microsoft 已在伺服器端修補至少一項相關問題。
• AI 程式編碼助手則面臨類似的「儲存庫供應鏈」風險：惡意專案檔案、設定檔或工具定義可能被代理當成指令。一旦代理獲得檔案系統、Shell、網路或 MCP 工具的存取權，便可能造成憑證竊取、任意程式碼執行或資料外洩。

真正的警訊：加密只是繞過內容檢查，架構才是核心問題

這項研究顯示，加密載荷可能繞過只檢查可讀文字的提示注入防護；但更根本的弱點，是系統把不受信任的輸入轉換成了對私人資料與外部行動的控制權。

因此，AI 代理的安全設計不能只依賴模型層級的安全護欄，還需要：

• 具備來源追蹤能力的 runtime 強制執行；
• 最小權限原則；
• 限制工具可接受的參數；
• 嚴格的網路出口與資料外傳政策；
• 對讀取敏感資料或聯絡新外部目的地等高風險行動，提供真正有效的使用者確認。

對使用者而言，這也代表「只是請 AI 摘要一個網頁」未必是低風險操作。當 AI 代理能夠執行程式、讀取私人上下文並自行瀏覽網路時，任何看似普通的網頁、文件、電子郵件、網址、儲存庫或工具輸出，都可能成為攻擊入口。