Grok divulgue les chats des utilisateurs via une astuce de page web chiffrée, 11 semaines après l'avertissement de xAI
- Adversa AI a démontré que Grok peut divulguer le nom, la localisation, le niveau d'abonnement et l'intégralité de l'historique de chat d'un utilisateur.
- Ces informations seront transmises à un attaquant qui dissimule des commandes chiffrées sur une page web que l'utilisateur demande à Grok de résumer.
- La faille a été signalée à xAI le 3 juin 2026, avec des relances les 4 et 10 août, et elle était toujours exploitable sur Grok.com au 19 août sans calendrier de correction annoncé.
Grok continue de transmettre les données privées des chats des utilisateurs aux pirates, selon un rapport d'Adversa AI publié jeudi.
Les pirates s'emparent de ces données en injectant des commandes dans du texte chiffré qui se trouve dans des pages web d'apparence normale. Le cabinet de cybersécurité a alerté xAI il y a plus de deux mois ; cependant, aucun correctif n'est encore disponible.
Le texte chiffré traverse le filtre de Grok
Le chercheur d'Adversa, Rony Utevsky, a nommé cette attaque « injection de contexte cryptographique ». Elle contourne facilement le propre filtre de sécurité du chatbot.
La plupart des LLM filtrent le texte entrant et sortant à la recherche de commandes suspectes. Cependant, cette attaque cache le texte malveillant du filtre de Grok.
L'instruction malveillante est chiffrée, ne laissant sur la page que le texte chiffré, la clé et une note sur la façon de le déchiffrer.
Le filtre lit le texte mais ne l'exécute jamais, donc le texte chiffré passe à travers. Grok le déchiffre ensuite à l'intérieur de son bac à sable de code. Il traite le texte en clair qui en ressort comme une sortie d'outil de confiance.
« L'exécution du runtime lave les données contrôlées par l'attaquant pour les transformer en instructions de confiance que l'agent exécutera », a écrit Adversa dans sa divulgation.
Lorsqu'un utilisateur demande à Grok de résumer ou d'analyser une page web, l'assistant la récupère, déchiffre la charge utile cachée et la suit.
Les instructions déchiffrées demandent à Grok de créer quelque chose qui ressemble à une clé de déchiffrement. Elle est dérivée du nom de l'utilisateur, de sa localisation approximative, de son niveau d'abonnement et de l'ensemble complet des invites de cette conversation.
Elle est ensuite attachée à une URL qui pointe vers le serveur de l'attaquant. Une fois que Grok ouvre l'URL, les données atterrissent dans les journaux de l'attaquant.
xAI a gardé le rapport sous le coude depuis juin 3
xAI est au courant de cette attaque depuis le 3 juin 2026, lorsque Utevsky a signalé le bug directement et via le programme HackerOne de l'entreprise pour les primes de bug.
xAI a pris note du rapport mais n'a pas fourni de calendrier pour un correctif. Utevsky dit qu'il l'a soulevé à nouveau le 4 août et le 10 août. Au 19 août, l'exploitation fonctionnait toujours sur Grok.com.
Adversa ne publie que le mécanisme de l'attaque, et le correctif recommandé se trouve dans le harnais de l'agent.
Il y a quelques jours, le modèle Gemini 3.7 Flash de Google Gemini a généré du contenu normalement bloqué par ses filtres. Cela inclut des instructions pour fabriquer une arme incendiaire et une copie du prompt système du modèle lui-même.
Cette version est un jailbreak direct. Utevsky a déclaré que c'est parce que l'environnement Python de Gemini ne peut pas accéder aux sites web externes. Google considère que les jailbreaks sont hors du champ d'application de son programme de divulgation.
Le taux de réussite de Gemini a chuté fortement en août. Adversa n'a pas pu identifier une mise à jour du filtre, un changement de modèle, ou les deux comme cause.
En mai, Cryptopolitan a rapporté qu'un utilisateur sur X avait écrit un message en code morse qui a contourné les garde-fous du bot et a poussé Grok à dire à l'agent lié Bankrbot d'envoyer environ 200 000 $ en jetons DRB sur Base.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
