I ricercatori hanno crittografato l'attacco in modo che Grok non potesse leggerlo. Grok lo ha decifrato da solo

I ricercatori di sicurezza di Adversa AI hanno pubblicato un attacco che trasforma una normale richiesta in una fuga di dati. Chiedi a Grok di xAI di riassumere una pagina web e, se quella pagina contiene un payload appositamente preparato, Grok può finire per inviare il tuo nome, posizione approssimativa, livello di abbonamento e cronologia delle conversazioni attuali a un server di cui non hai mai sentito parlare. Nessun clic richiesto.

La parte intelligente è come il carico utile supera le difese. I chatbot che navigano sul web sono dotati di filtri che cercano istruzioni sospette nascoste nel testo della pagina, la classica prompt injection. La risposta di Adversa è stata quella di rendere illeggibili le istruzioni: il payload è crittografato con AES-256-GCM, un codice forte standard, e la pagina fornisce anche la chiave. I filtri di sicurezza vedono le cose senza senso e le lasciano passare. Quindi Grok, che ha una sandbox Python integrata per l’esecuzione del codice, decrittografa diligentemente il blob. Ciò che ne risulta è testo in chiaro prodotto all’interno del proprio ambiente di esecuzione e il modello lo tratta come un contesto interno attendibile anziché come contenuto non attendibile proveniente dal sito Web di uno sconosciuto. I ricercatori lo chiamano Cryptographic Context Injection.

Su circa 20 tentativi da giugno, il tasso di successo riportato è stato di circa il 40%, con i fallimenti causati dalla decrittazione andata male piuttosto che dalla capacità di difesa di rilevarla. Adversa ha segnalato il difetto a xAI tramite il suo programma HackerOne il 3 giugno 2026, seguito il 4 agosto e il 10 agosto, e afferma di non aver avuto risposta. Al 19 agosto non c’erano né patch né CVE. Lo stesso articolo mostra una dimostrazione correlata contro Gemini di Google in modalità Deep Thinking.

Il problema di fondo è strutturale e non riguarda esclusivamente Grok. Ogni modello che naviga sul web ed esegue codice ha la stessa struttura: il contenuto arriva da una fonte non attendibile e da qualche parte a valle il sistema smette di trattarlo come non attendibile. I filtri che scansionano il testo in arrivo per individuare istruzioni errate funzionano solo se le istruzioni sono visibili al momento della scansione. Tutto ciò che ricostituisce successivamente il testo, sia mediante decrittazione, decodificazione o assemblaggio di frammenti, passa dritto. Si tratta dello stesso tipo di errore alla base del difetto Copilot di cui abbiamo parlato il 20 agosto, in cui un collegamento concatenava un parametro URL, un recupero e una memoria persistente in un furto di dati con un clic che Microsoft ha impiegato otto mesi per risolvere. L’iniezione rapida non è un bug che viene corretto una volta. È una proprietà dei sistemi che mescolano istruzioni e dati nello stesso canale, e continuerà a riemergere in nuove vesti.

Che cosa significa per te: fai attenzione a cosa chiedi di leggere a un assistente di navigazione mentre nella stessa sessione è aperta una conversazione sensibile. L’esposizione qui è il tuo attuale contesto di chat, quindi la difesa pratica è la separazione: avvia una nuova conversazione prima di indirizzare un assistente a una pagina sconosciuta e non incollare password, contratti o dati personali in una sessione che utilizzi anche per il riepilogo web. La stessa cautela si applica a qualsiasi agente con navigazione ed esecuzione di codice, non solo Grok. E se stai valutando gli strumenti di intelligenza artificiale per un’azienda, un fornitore che rimane per undici settimane senza rispondere a un report di HackerOne è di per sé un punto dati.

Fonti

• Un nuovo attacco di iniezione del contesto crittografico potrebbe consentire alle pagine Web di rubare i dati della chat di Grok, The Hacker News
• I prompt crittografati aggirano le barriere di sicurezza dell’IA in Grok e Gemini, SecurityWeek
• Chat di Grok ingannata per ingoiare istruzioni iniettate, The Register