Grok divulga le chat degli utenti tramite un trucco con una pagina web crittografata, 11 settimane dopo l'avvertimento di xAI

Secondo un rapporto di Adversa AI pubblicato giovedì, Grok continua a fornire i dati privati ​​delle chat degli utenti agli hacker.

Gli hacker riescono a impossessarsi di questi dati iniettando comandi in testi crittografati presenti in pagine web apparentemente normali. L'azienda di sicurezza informatica ha allertato xAI più di due mesi fa; tuttavia, non è ancora disponibile una soluzione.

Il testo cifrato passa attraverso il filtro di Grok

Rony Utevsky, ricercatore di Adversa, ha chiamato l'attacco "iniezione di contesto crittografico". Questo attacco elude facilmente il filtro di sicurezza del chatbot stesso.

La maggior parte dei LLM filtra il testo in entrata e in uscita alla ricerca di comandi sospetti. Tuttavia, questo attacco nasconde il testo dannoso al filtro di Grok.

Le istruzioni dannose sono crittografate, lasciando sulla pagina solo il testo cifrato, la chiave e una nota su come decifrarlo.

Il filtro legge il testo ma non lo esegue, quindi il testo cifrato passa senza problemi. Grok lo decifra poi all'interno del suo ambiente di test. Il testo in chiaro che ne risulta viene trattato come output di uno strumento affidabile.

"L'esecuzione in fase di runtime ricicla dati controllati dall'attaccante trasformandoli in istruzioni attendibili che l'agente eseguirà", ha scritto nella sua comunicazione.

Quando un utente chiede a Grok di riassumere o analizzare una pagina web, l'assistente la recupera, decifra il contenuto nascosto e lo segue.

Le istruzioni decifrate indicano a Grok di creare qualcosa che assomigli a una chiave di decrittazione. Questa viene ricavata dal nome dell'utente, dalla posizione approssimativa, dal livello di abbonamento e dall'insieme completo delle richieste di quella conversazione.

Viene quindi associato a un URL che reindirizza al server dell'attaccante. Una volta che Grok apre l'URL, i dati finiscono nei log dell'attaccante.

xAI ha tenuto il rapporto in sospeso dal 3 giugno

xAI è a conoscenza di questo attacco dal 3 giugno 2026, data in cui Utevsky ha segnalato il bug direttamente e tramite il programma HackerOne dell'azienda, dedicato alle ricompense per la segnalazione di vulnerabilità.

xAI ha preso atto della segnalazione, ma non ha fornito una tempistica per una patch. Utevsky afferma di aver sollevato nuovamente la questione il 4 e il 10 agosto. Al 19 agosto, la vulnerabilità risultava ancora funzionante su Grok.com.

Adversa pubblica solo il meccanismo di attacco, mentre la soluzione consigliata è già integrata nell'agente.

Qualche giorno fa, il modello Flash Gemini 3.7 di Google ha generato materiale normalmente bloccato dai suoi filtri. Tra questi, le istruzioni per costruire un'arma incendiaria e una copia del prompt di sistema del modello stesso.

Quella versione è un jailbreak diretto. Utevsky ha affermato che ciò è dovuto al fatto che l'ambiente Python di Gemini non può accedere a siti web esterni. Google considera i jailbreak al di fuori dell'ambito del suo programma di divulgazione.

Il tasso di successo di Gemini è calato drasticamente entro agosto. Adversa non è stata in grado di individuare la causa in un aggiornamento del filtro, in una modifica del modello o in entrambi.

A maggio, Cryptopolitan ha riportato che un utente su X ha scritto un messaggio in codice Morse che ha aggirato le misure di sicurezza del bot e ha indotto Grok a dire all'agente collegato Bankrbot di inviare circa 200.000 dollari in token DRB su Base.