Grok veröffentlicht Nutzerchats durch verschlüsselte Webseiten-Trick, 11 Wochen nach der Warnung von xAI
- Adversa AI hat gezeigt, dass Grok den Namen, den Standort, die Abonnementstufe und den gesamten Chatverlauf eines Nutzers preisgibt.
- Dadurch erhält ein Angreifer diese Informationen, indem er verschlüsselte Befehle auf einer Webseite versteckt, die der Benutzer von Grok zusammenfassen lässt.
- Der Fehler wurde xAI am 3. Juni 2026 gemeldet, am 4. August und 10. August wurde nachgehakt, und er funktionierte am 19. August immer noch auf Grok.com, ohne dass ein Zeitplan für eine Behebung festgelegt wurde.
Laut einem am Donnerstag veröffentlichten Bericht von Adversa AI gibt Grok weiterhin private Chatdaten von Nutzern an Hacker weiter.
Hacker erlangen Zugriff auf diese Daten, indem sie Befehle in verschlüsselten Text einschleusen, der auf normal aussehenden Webseiten zu finden ist. Das Cybersicherheitsunternehmen informierte xAI bereits vor über zwei Monaten; eine Lösung ist jedoch noch nicht verfügbar.
Der Chiffretext durchläuft den Filter von Grok
Der Adversa-Forscher Rony Utevsky nannte den Angriff „kryptografische Kontextinjektion“. Er umgeht problemlos den eigenen Sicherheitsfilter des Chatbots.
Die meisten LLMs filtern ein- und ausgehenden Text auf verdächtige Befehle. Dieser Angriff verbirgt jedoch schädlichen Text vor dem Filter von Grok.
Die bösartige Anweisung ist verschlüsselt, sodass auf der Seite nur noch der Geheimtext, der Schlüssel und ein Hinweis zur Entschlüsselung verbleiben.
Der Filter liest den Text, führt ihn aber nie aus, sodass der Chiffretext durchgelassen wird. Grok entschlüsselt ihn dann in seiner Code-Sandbox. Der dabei ausgegebene Klartext wird als Ausgabe eines vertrauenswürdigen Tools behandelt.
„Die Laufzeitausführung wandelt vom Angreifer kontrollierte Daten in vertrauenswürdige Anweisungen um, auf deren Grundlage der Agent handeln wird“, schrieb in seiner Offenlegung.
Wenn ein Benutzer Grok bittet, eine Webseite zusammenzufassen oder zu analysieren, ruft der Assistent diese ab, entschlüsselt die versteckte Nutzlast und verfolgt sie.
Die entschlüsselten Anweisungen weisen Grok an, etwas zu erstellen, das wie ein Entschlüsselungsschlüssel aussieht. Es wird aus dem Namen des Benutzers, dem ungefähren Standort, dem Abonnementmodell und den vollständigen Eingabeaufforderungen aus diesem Gespräch abgeleitet.
Anschließend wird die URL angehängt, die zum Server des Angreifers führt. Sobald Grok die URL öffnet, landen die Daten in den Protokolldateien des Angreifers.
xAI hat den Bericht seit dem 3. Juni zurückgehalten
xAI ist sich dieses Angriffs seit dem 3. Juni 2026 bewusst, als Utevsky den Fehler direkt und über das HackerOne-Programm des Unternehmens für Bug-Bounty-Prämien meldete.
xAI hat den Bericht zur Kenntnis genommen, aber keinen Zeitplan für einen Patch genannt. Utevsky gibt an, das Problem am 4. und 10. August erneut angesprochen zu haben. Am 19. August funktionierte die Sicherheitslücke auf Grok.com weiterhin.
Adversa veröffentlicht lediglich den Angriffsmechanismus, die empfohlene Lösung befindet sich im Agenten-Harness.
Vor einigen Tagen erzeugte Googles Gemini 3.7 Flash-Modell Material, das normalerweise von seinen Filtern blockiert wird. Dazu gehören Anleitungen zum Bau einer Brandwaffe und eine Kopie der Systemaufforderung des Modells selbst.
Diese Version ist ein direkter Jailbreak. Laut Utevsky liegt das daran, dass die Python-Umgebung von Gemini nicht auf externe Websites zugreifen kann. Google betrachtet Jailbreaks als außerhalb des Geltungsbereichs seines Offenlegungsprogramms.
Die Erfolgsquote von Gemini sank bis August rapide. Adversa konnte weder ein Filter-Update noch eine Modelländerung oder beides als Ursache ausmachen.
Im Mai berichtete Cryptopolitan , dass ein Benutzer auf X eine Nachricht in Morsecode verfasst hatte, die die Sicherheitsvorkehrungen des Bots umging und Grok dazu brachte, dem verknüpften Agenten Bankrbot mitzuteilen, dass er DRB-Token im Wert von rund 200.000 US-Dollar auf Base senden sollte.
Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan und berichtet über Technologie, KI, Robotik, Kryptowährungen, Betrug und Hackerangriffe. Sie ist seit 2017 in der Krypto-Branche tätig und arbeitete zuvor bei Forward Protocol, AmaZix und Cryptosomniac. Randa hat einen Abschluss in Elektrotechnik undtronvon der Universität Bradford.
