Grok 加密提示注入漏洞：普通網頁如何竊取聊天紀錄

Adversa AI 研究員 Rony Utevsky 揭露了一項據報存在於 xAI Grok 網頁代理的「零點擊間接提示注入」問題：攻擊者可以製作一個外觀普通的網頁，當使用者要求 Grok 摘要或分析該頁面時，誘使 Grok 解密攻擊指令，並將私人工作階段資料傳送到攻擊者控制的伺服器。這裡的關鍵並不是 AES 加密演算法本身遭到破解，而是代理執行環境可能把「解密後、由攻擊者控制的內容」當成可信任的上下文，進而允許它驅動具權限的外部瀏覽行為。

「Cryptographic Context Injection」如何運作？

這種攻擊把惡意指令從一般文字變成密文，利用內容過濾器與代理執行環境之間的落差：

• 惡意網頁會放入加密後的 JSON 載荷、解密步驟，以及所需的金鑰材料。Adversa 表示，載荷使用 AES-256-GCM，並以 PBKDF2 衍生金鑰。由於靜態提示注入過濾器通常只會分類文字、並不會實際執行密碼學程式碼，密文中的指令可能避過文字層級的檢查。
• Grok 隨後被誘導在自身的 Python／沙盒執行環境中執行解密程式。解密完成後，明文會成為工具或執行環境輸出的一部分；根據 Adversa 的說法，Grok 會把這些內容當成可信上下文，而不是繼續視為來自不受信任網頁的資料。
• 解密後的載荷會指示 Grok 讀取私人工作階段資訊，例如使用者姓名、大致位置、訂閱層級，以及目前對話中的提示詞與聊天紀錄。接著，資料會被插入 URL，Grok 再以「取得更多上下文」等理由開啟該網址，透過請求參數傳送至攻擊者端點。Adversa 的示範稱，傳送過程沒有顯示警告，也沒有要求使用者確認。

換句話說，攻擊者不必把「請把聊天紀錄傳給我」直接寫在網頁上。只要讓 Grok 自己完成解密，惡意指令便可能在系統內部由「網頁內容」轉變成「工具執行結果」，並取得更高的可信度。

可能外洩哪些資料？

Adversa 將影響描述為嚴重的機密性風險。受害者只要要求 Grok 摘要攻擊者託管的網頁，依照其概念驗證流程，攻擊者便可能取得：

• 使用者姓名；
• 大致或粗略位置；
• 訂閱方案或帳戶層級；
• 目前對話中的提示詞；
• 完整聊天紀錄與其他工作階段脈絡。

目前公開資料主要來自 Adversa 的漏洞披露與同期報導，並非 xAI 發布的獨立技術確認。因此，上述內容應理解為研究團隊所報告的攻擊結果，而不是已由 xAI 公開確認的全面影響範圍。

何時通報 xAI？是否已修復？

Adversa 表示，Utevsky 已於 2026 年 6 月 3 日通知 xAI，並透過 xAI 的 HackerOne 漏洞回報管道提交報告。截至 Adversa 於 2026 年 8 月 20 日公開披露時，問題據稱在多次追蹤後仍未解決，已持續超過兩個月。

就當時可取得的資料而言，沒有看到 xAI 公開發布正式回應或修復時程。這一狀態主要依據 Adversa 的披露與同期報導；目前沒有獨立公開的 xAI 聲明可用來確認漏洞是否仍然存在，或何時會完成修補。

Adversa 建議修正代理執行環境，而不只是加強過濾器

Adversa 認為，單純改進提示注入偵測器並不足以解決問題，修復重點應放在代理的 runtime harness，也就是負責管理上下文、程式執行與工具權限的執行框架：

• 保留來源與污染標籤： 只要資料源自網頁，即使經過解析、解碼或程式執行，也應繼續被標記為不受信任內容。
• 限制不受信任內容的權限： 來源不可信的內容及其衍生值，不應直接呼叫高權限工具、讀取私人對話或工作階段資料，也不應控制工具參數。
• 加強資料外傳控制： 代理將敏感上下文傳送到新的外部目的地前，應受到網路出口政策限制，並設置明確、具意義的使用者同意機制。

與 Copilot 及 AI 程式編碼代理攻擊有何關係？

這起事件屬於更廣泛的代理式 AI 安全問題：AI 代理同時接觸不受信任內容、機密上下文、程式碼執行、持久記憶與可採取行動的工具；但大型語言模型並不可靠地區分「資料」與「指令」。

• Microsoft 365 Copilot 的 EchoLeak 被描述為零點擊提示注入漏洞。攻擊者可透過特製電子郵件，讓 Copilot 在未經遠端攻擊者驗證的情況下外洩其可存取的組織資料。
• 近期研究人員也報告了針對 Copilot Personal 的攻擊鏈，涉及特製連結、從已連接應用程式擷取資料，以及持久記憶污染；據報 Microsoft 已在伺服器端修補至少一項相關問題。
• AI 程式編碼助手則面臨類似的「儲存庫供應鏈」風險：惡意專案檔案、設定檔或工具定義可能被代理當成指令。一旦代理獲得檔案系統、Shell、網路或 MCP 工具的存取權，便可能造成憑證竊取、任意程式碼執行或資料外洩。

真正的警訊：加密只是繞過內容檢查，架構才是核心問題

這項研究顯示，加密載荷可能繞過只檢查可讀文字的提示注入防護；但更根本的弱點，是系統把不受信任的輸入轉換成了對私人資料與外部行動的控制權。

因此，AI 代理的安全設計不能只依賴模型層級的安全護欄，還需要：

• 具備來源追蹤能力的 runtime 強制執行；
• 最小權限原則；
• 限制工具可接受的參數；
• 嚴格的網路出口與資料外傳政策；
• 對讀取敏感資料或聯絡新外部目的地等高風險行動，提供真正有效的使用者確認。

對使用者而言，這也代表「只是請 AI 摘要一個網頁」未必是低風險操作。當 AI 代理能夠執行程式、讀取私人上下文並自行瀏覽網路時，任何看似普通的網頁、文件、電子郵件、網址、儲存庫或工具輸出，都可能成為攻擊入口。