Grokが暗号化されたウェブページのトリックを使ってユーザーチャットを漏洩、xAIが警告してから11週間後

木曜日に発表されたAdversa AIの報告書によると、Grokは依然としてユーザーのプライベートなチャットデータをハッカーに渡しているという。.

ハッカーは、一見普通のウェブページに見える場所に埋め込まれた暗号化されたテキストにコマンドを挿入することで、このデータを入手します。サイバーセキュリティ企業は2か月以上前にxAIにこの脆弱性を警告しましたが、現時点では修正プログラムは提供されていません。.

暗号文はGrokのフィル​​ターを通過します。

Adversaの研究者ロニー・ウテフスキーはこの攻撃を「暗号学的コンテキスト注入」と名付けた。この攻撃はチャットボット独自の安全フィルターを容易にすり抜ける。.

ほとんどのLLM（論理言語管理）システムは、送受信されるテキストから疑わしいコマンドをフィルタリングします。しかし、この攻撃は悪意のあるテキストをGrokのフィル​​タから隠蔽します。.

悪意のある命令は暗号化されており、ページ上には暗号文、鍵、そして復号方法に関するメモだけが残されている。.

このフィルターはテキストを読み取りますが、実行はしないため、暗号化されたテキストはそのまま通過します。その後、Grokはコードサンドボックス内でそれを復号化します。そして、出力される平文を信頼できるツールの出力として扱います。.

「実行時処理によって、攻撃者が制御するデータが、エージェントが実行する信頼できる命令に変換される」と、Adversaは開示資料の中で述べている。

ユーザーがGrokにウェブページの要約や分析を依頼すると、アシスタントは該当ページを取得し、隠されたペイロードを復号化して、それに従って処理を進めます。

復号化された指示は、Grokに対し、復号キーのようなものを作成するように指示するものです。これは、ユーザー名、おおよその位置情報、サブスクリプションプラン、およびその会話におけるすべてのプロンプトから生成されます。.

その後、データは攻撃者のサーバーに誘導するURLに付加されます。GrokがそのURLを開くと、データは攻撃者のログに記録されます。.

xAIは6月3日からこの報告書を保管している。

xAIは、2026年6月3日にウテフスキー氏が直接、また同社のバグ報奨金プログラムであるHackerOneを通じてこのバグを報告して以来、この攻撃を認識していた。.

xAIは報告を認識しているものの、パッチのリリース時期については明らかにしていない。ウテフスキー氏は8月4日と8月10日に再度この問題を提起したと述べている。8月19日現在、この脆弱性はGrok.comで依然として機能していた。.

Adversaは攻撃メカニズムのみを公開しており、推奨される修正方法はエージェントのハーネスに組み込まれています。.

数日前、Googleの Gemini 3.7 Flashモデルが、通常はフィルターでブロックされるはずのコンテンツを生成した。これには、焼夷兵器の製造方法や、モデル自身のシステムプロンプトのコピーなどが含まれる。

そのバージョンは直接的な脱獄ツールです。ウテフスキー氏によると、これはGeminiのPython環境が外部のウェブサイトにアクセスできないためだといいます。Googleは脱獄ツールを情報公開プログラムの対象外とみなしています。.

ジェミニの成功率は8月までに急激に低下した。アドバーサ社は、フィルターのアップデート、モデルの変更、あるいはその両方が原因であるとは断定できなかった。.

5月、 Cryptopolitan は、Xのユーザーがモールス信号でメッセージを送信し、ボットの安全対策を回避して、GrokにリンクされたエージェントであるBankrbotにBase上で約20万ドル相当のDRBトークンを送金するように指示させたことを報じた。.