Grok perde le chat degli utenti tramite un trucco di pagina web crittografata, 11 settimane dopo l'avviso di xAI

Grok sta ancora fornendo i dati privati delle chat degli utenti agli hacker, secondo un rapporto di Adversa AI pubblicato giovedì.

Gli hacker ottengono questo dato iniettando comandi in testo crittografato che si trova in pagine web dall'aspetto normale. La società di cybersecurity ha avvisato xAI più di due mesi fa; tuttavia, non c'è ancora una correzione disponibile.

Il testo cifrato scorre attraverso il filtro di Grok

Il ricercatore di Adversa Rony Utevsky ha chiamato l'attacco "iniezione di contesto crittografico". Supera facilmente il filtro di sicurezza del chatbot.

La maggior parte dei LLM filtra il testo in entrata e in uscita per comandi sospetti. Tuttavia, questo attacco nasconde il testo dannoso dal filtro di Grok.

L'istruzione dannosa è crittografata, lasciando solo il testo cifrato, la chiave e una nota su come decrittografarlo sulla pagina.

Il filtro legge il testo ma non lo esegue mai, quindi il testo cifrato passa attraverso. Grok poi lo decrittografa all'interno della sua sandbox di codice. Tratta il testo in chiaro che ne esce come un output di strumento fidato.

“L'esecuzione del runtime lava i dati controllati dall'attaccante in istruzioni fidate su cui l'agente agirà”, ha scritto Adversa nella sua divulgazione.

Quando un utente chiede a Grok di riassumere o analizzare una pagina web, l'assistente la recupera, decrittografa il payload nascosto e lo segue.

Le istruzioni decrittate dicono a Grok di creare qualcosa che sembra una chiave di decrittazione. È derivata dal nome dell'utente, dalla posizione approssimativa, dal livello di abbonamento e dall'insieme completo di prompt di quella conversazione.

Viene quindi allegata a un URL che punta al server dell'attaccante. Una volta che Grok apre l'URL, i dati finiscono nei log dell'attaccante.

xAI ha tenuto il rapporto sotto chiave da giugno 3

xAI era a conoscenza di questo attacco dal 3 giugno 2026, quando Utevsky ha segnalato il bug direttamente e attraverso il programma HackerOne dell'azienda per le bounty sui bug.

xAI ha preso nota del rapporto ma non ha fornito una scadenza per una patch. Utevsky dice di averlo sollevato di nuovo il 4 e il 10 agosto. Al 19 agosto, l'exploit funzionava ancora su Grok.com.

Adversa sta pubblicando solo il meccanismo dell'attacco, e la correzione consigliata è nella harness dell'agente.

Giorni fa, il modello Gemini 3.7 Flash di Google Gemini ha generato materiale normalmente bloccato dai suoi filtri. Tra questi figurano istruzioni per la costruzione di un'arma incendiaria e una copia del prompt di sistema del modello stesso.

Quella versione è un jailbreak diretto. Utevsky ha detto che questo è perché l'ambiente Python di Gemini non può raggiungere siti web esterni. Google considera i jailbreak al di fuori dell'ambito del suo programma di divulgazione.

Il tasso di successo di Gemini è diminuito drasticamente ad agosto. Adversa non ha potuto indicare un aggiornamento del filtro, un cambiamento del modello o entrambi come causa.

A maggio, Cryptopolitan ha riferito che un utente su X ha scritto un messaggio in codice Morse che ha aggirato le salvaguardie del bot e ha indotto Grok a dire all'agente collegato Bankrbot di inviare circa 200.000 $ in token DRB su Base.