Forscher verschlüsselten den Angriff, sodass Grok ihn nicht lesen konnte. Grok hat es selbst entschlüsselt

Sicherheitsforscher von Adversa AI haben einen Angriff veröffentlicht, der eine gewöhnliche Anfrage in ein Datenleck verwandelt. Bitten Sie Grok von xAI, eine Webseite zusammenzufassen, und wenn diese Seite eine speziell vorbereitete Nutzlast enthält, kann Grok am Ende Ihren Namen, Ihren ungefähren Standort, Ihre Abonnementstufe und Ihren aktuellen Konversationsverlauf an einen Server senden, von dem Sie noch nie gehört haben. Kein Klick erforderlich.

Das Schlaue daran ist, wie die Nutzlast die Verteidigungsanlagen überwinden kann. Chatbots, die im Internet surfen, verfügen über Filter, die nach verdächtigen Anweisungen suchen, die im Seitentext versteckt sind, die klassische Prompt-Injection. Adversas Antwort bestand darin, die Anweisungen unleserlich zu machen: Die Nutzdaten werden mit AES-256-GCM, einer standardmäßigen starken Verschlüsselung, verschlüsselt, und die Seite liefert auch den Schlüssel. Die Sicherheitsfilter sehen Kauderwelsch und lassen ihn durch. Dann entschlüsselt Grok, das über eine integrierte Python-Sandbox zum Ausführen von Code verfügt, pflichtbewusst den Blob. Was dabei herauskommt, ist Klartext, der in seiner eigenen Ausführungsumgebung erzeugt wird, und das Modell behandelt ihn als vertrauenswürdigen internen Kontext und nicht als nicht vertrauenswürdigen Inhalt von der Website eines Fremden. Die Forscher nennen es Kryptografische Kontextinjektion.

Bei etwa 20 Versuchen seit Juni lag die gemeldete Erfolgsquote bei etwa 40 Prozent, wobei die Fehlschläge eher darauf zurückzuführen waren, dass die Entschlüsselung fehlschlug, als darauf, dass die Abwehr sie abfangen konnte. Adversa meldete den Fehler am 3. Juni 2026 über sein HackerOne-Programm an xAI, meldete sich am 4. August und 10. August weiter und gab an, keine Antwort erhalten zu haben. Bis zum 19. August gab es keinen Patch und kein CVE. Derselbe Artikel zeigt eine entsprechende Demonstration gegen Googles Gemini im Deep Thinking-Modus.

Das zugrunde liegende Problem ist struktureller Natur und betrifft nicht nur Grok. Jedes Modell, das sowohl das Web durchsucht als auch Code ausführt, hat die gleiche Form: Inhalte kommen von einer nicht vertrauenswürdigen Quelle, und irgendwo nachgelagert behandelt das System sie nicht mehr als nicht vertrauenswürdig. Filter, die eingehenden Text auf fehlerhafte Anweisungen scannen, funktionieren nur, wenn die Anweisungen zum Zeitpunkt des Scannens sichtbar sind. Alles, was den Text später wiederherstellt, sei es durch Entschlüsselung, Dekodierung oder Zusammensetzen aus Fragmenten, geht direkt vorbei. Dabei handelt es sich um die gleiche Fehlerklasse, die hinter dem Copilot-Fehler steckt, über den wir am 20. August berichtet haben, bei dem ein Link einen URL-Parameter, einen Abruf und einen persistenten Speicher zu einem Ein-Klick-Datendiebstahl verkettete, für dessen Behebung Microsoft acht Monate brauchte. Bei der sofortigen Injektion handelt es sich nicht um einen Fehler, der nur einmal behoben wird. Es ist eine Eigenschaft von Systemen, die Anweisungen und Daten im selben Kanal mischen, und es wird immer wieder in neuem Gewand auftauchen.

Was das für Sie bedeutet: Seien Sie vorsichtig, was Sie einem Browser-Assistenten vorlesen lassen, während in derselben Sitzung eine vertrauliche Konversation geöffnet ist. Die Offenlegung hier ist Ihr aktueller Chat-Kontext, daher ist die praktische Verteidigung die Trennung: Beginnen Sie ein neues Gespräch, bevor Sie einen Assistenten auf eine unbekannte Seite verweisen, und fügen Sie keine Passwörter, Verträge oder persönlichen Daten in eine Sitzung ein, die Sie auch für Web-Zusammenfassungen verwenden. Die gleiche Vorsicht gilt für alle Agenten mit Browsing und Codeausführung, nicht nur für Grok. Und wenn Sie KI-Tools für ein Unternehmen evaluieren, ist ein Anbieter, der elf Wochen lang nicht auf einen HackerOne-Bericht antwortet, selbst ein Datenpunkt.

Quellen

• Neuer kryptografischer Kontext-Injection-Angriff könnte dazu führen, dass Webseiten Grok-Chat-Daten stehlen, The Hacker News
• Verschlüsselte Eingabeaufforderungen umgehen KI-Sicherheitsleitplanken in Grok und Gemini, SecurityWeek
• Grok-Chat wurde dazu verleitet, injizierte Anweisungen zu schlucken, The Register