Grok 的「加密內容注入」如何繞過防護並外洩聊天資料？

只要使用者要求 Grok 摘要或分析一個事先準備好的網頁，攻擊者就可能利用該頁面藏入的內容發動攻擊；使用者不必親自輸入惡意指令。Adversa AI 研究員 Rony Utevsky 揭露的這項技術，被稱為 Cryptographic Context Injection（加密內容注入）。在研究團隊的概念驗證中，Grok 能解密由攻擊者控制的指令、讀取目前對話中可供代理存取的資料，並在沒有明顯確認步驟的情況下，透過瀏覽工具將資料傳送到外部伺服器。

這不是 AES-256-GCM 被破解

這項問題並不代表 AES-256-GCM 加密演算法本身遭到破解。攻擊利用的是 Grok 的安全檢查、程式碼執行環境與網頁瀏覽工具之間的架構縫隙。

攻擊者會在看似普通的網頁上放置加密的指令，以及解密所需的程式碼、金鑰材料。當 Grok 讀取該頁面時，最初的提示注入防護看到的是密文，而不是明文指令。接著，代理被誘導在 Python 或程式碼執行沙盒中執行解密程序。解密結果再以工具操作的輸出形式回到模型上下文；相較於直接嵌在不可信網頁中的指令，代理可能會以不同方式看待這些「工具產生的結果」。

Adversa AI 表示，團隊曾在 grok.com 上針對 Grok 4.5 Fast 測試這項技術。另一份測試報告稱，研究人員在 2026 年 6 月至 8 月間進行 20 次嘗試，其中 40% 成功。這個數字只反映研究團隊在特定測試環境下的結果，並不代表每次攻擊或每個 Grok 工作階段都會遭到入侵。

惡意網頁如何一步步發動攻擊？

據報告，整個攻擊鏈大致包含以下階段：

1. 網頁攜帶隱藏負載。 攻擊者在頁面中放入密文、解密指示與金鑰材料，讓頁面表面上仍可呈現一般文章或資訊。研究中提到的組合使用 PBKDF2 衍生金鑰，以及 AES-256-GCM 加密。

2. 初步掃描看不到真正指令。 Grok 的防護機制可以檢查頁面上的可見內容，但危險指令被藏在加密資料中。由於密文無法直接透露明文內容，模型在第一輪掃描時難以判斷其中的惡意指令。

3. 代理自行執行解密。 當使用者要求 Grok 摘要或分析該網頁時，代理會按照頁面指示，在自身的程式碼執行環境中完成解密。

4. 解密內容重新進入代理上下文。 解密後的文字以工具操作結果呈現，造成來源辨識問題：原本來自攻擊者的不可信內容，被轉移到代理可能視為「可執行結果」的上下文中。

5. Grok 讀取工作階段資料。 在概念驗證中，解密後的指令要求 Grok 取得可用的使用者姓名、約略位置、訂閱方案，以及目前對話中的提示內容等資料。

6. 透過瀏覽請求外傳資料。 Grok 隨後開啟由攻擊者控制的網址，並將蒐集到的資料放入 URL 查詢參數。研究展示指出，這個過程沒有額外確認，也沒有出現明顯警告。

需要注意的是，現有證據支持的範圍，是代理在目前工作階段中可存取的提示與上下文。報導中所說的「完整聊天記錄」，不應直接解讀為 Grok 能存取使用者帳戶中所有歷史對話。

漏洞何時回報給 xAI？目前修補了嗎？

Adversa AI 表示，已在 2026 年 6 月 3 日 透過 HackerOne 向 xAI 回報問題，並於 8 月 4 日及 8 月 10 日 寄出後續協調通知。

截至 2026 年 8 月 19 日，研究團隊稱尚未收到 xAI 的實質回應，而且在 Grok 上仍能重現攻擊。當時可取得的報導將問題描述為尚無已部署修補程式、沒有公開 CVE 編號，也沒有提供給使用者的正式替代方案。

這項狀態是研究人員與媒體對漏洞揭露流程的描述，並非 xAI 發布的正式安全公告。現有資料也無法證明這項技術已在研究展示以外，被攻擊者用於真實使用者身上。

為什麼加密會造成防護盲點？

傳統的提示注入防護，通常會嘗試在 AI 系統擷取的內容中尋找可疑語句。但「加密內容注入」把危險指令推遲到處理流程的後段。

模型在第一次掃描網頁時，不需要理解惡意指令；它只需要遵循一個看似有用的要求，例如在受信任的執行環境中執行解密程序。等到程式執行完成，指令才變得可讀。此時，代理可能已經能存取私人上下文，也可能擁有瀏覽網頁或發出網路請求的權限。

因此，這個漏洞更適合被理解為代理架構問題，而不只是關鍵字過濾失效。當一個 AI 代理同時能讀取外部內容、執行程式碼、存取工作階段資料及呼叫網路工具時，惡意指令就可能把這些能力串成資料外洩通道。

Grok 個案如何連結到更廣泛的 AI 代理風險？

這起揭露延續了近年 AI 代理安全事件的共同模式：不可信內容操控了具備敏感資料存取權或強大工具權限的助手。

• Microsoft 365 Copilot 的 EchoLeak 研究： EchoLeak 個案記錄了一項 Microsoft 365 Copilot 的零點擊提示注入漏洞。攻擊者只需寄送特製電子郵件，就可能在未經驗證的情況下遠端外洩資料；該問題編號為 CVE-2025-32711。
• Microsoft Copilot Personal 的 CoSnitch 研究： Varonis 研究人員報告指出，反覆操控 Copilot 的推理過程，可能導致敏感資料被傳送至外部伺服器，並污染持久記憶。
• AI 程式碼代理攻擊： Adversa AI 的 TrustFall 研究描述了惡意程式碼儲存庫設定如何誘使 Claude Code、Gemini CLI、Cursor CLI 及 GitHub Copilot CLI 等工具，透過攻擊者控制的 MCP 伺服器執行命令。

這些案例的共同點是，攻擊者不一定要直接破解底層模型或作業系統。只要提供 AI 代理原本就被設計來讀取的內容，再借用代理自身的權限，便可能取得資料、呼叫工具、修改狀態，甚至發出網路請求。

這項揭露對防禦提出哪些要求？

這起攻擊顯示，AI 代理的安全性不能只依賴更強的提示注入過濾器。重要的防護措施包括：

• 分離內容來源： 在技術與介面上清楚區分網頁內容、工具輸出、系統指令及受信任的應用程式狀態。
• 限制程式碼執行： 不應讓擷取到的內容任意觸發解密或其他程式碼；相關操作必須受到嚴格政策與沙盒限制。
• 落實最小權限： 限制代理可讀取的私人上下文，避免一般摘要任務接觸無關的工作階段資料。
• 敏感操作要求核准： 任何包含使用者資料或對話內容的網路請求，都應要求明確且有意義的使用者確認。
• 控管對外流量： 透過允許清單、代理伺服器檢查及出口流量控制，阻止代理將上下文資料傳送到任意網址。
• 監控工具鏈： 對「擷取網頁→執行程式碼→讀取上下文→向外部網址發出請求」等異常連續行為進行記錄與告警。

核心教訓很直接：工具產生的內容，不會因為是工具輸出就自動值得信任。 在 Grok 的這起報告案例中，攻擊者把一個網頁變成解密與執行流程，再利用代理本身的權限，將私人上下文帶出原本的對話工作階段。