Grok divulga conversas de utilizadores através de truque com página web encriptada, 11 semanas após alerta da xAI

De acordo com um relatório da Adversa AI publicado na quinta-feira, o Grok continua a entregar dados privados de chat dos seus utilizadores a hackers.

Os hackers obtêm estes dados injetando comandos em textos encriptados presentes em páginas web aparentemente normais. A empresa de cibersegurança alertou a xAI há mais de dois meses; no entanto, ainda não existe solução disponível.

O texto cifrado flui através do filtro de Grok

O investigador da Adversa, Rony Utevsky, denominou o ataque de "injeção de contexto criptográfico". Passa facilmente pelo filtro de segurança do chatbot.

A maioria dos LLM filtra os textos de entrada e saída em busca de comandos suspeitos. No entanto, este ataque oculta textos maliciosos do filtro do Grok.

A instrução maliciosa está encriptada, restando na página apenas o texto cifrado, a chave e uma nota sobre como desencriptá-la.

O filtro lê o texto, mas nunca o executa, permitindo a passagem do texto cifrado. O Grok desencripta-o então dentro do seu ambiente de código isolado. Trata o texto plano resultante como a saída fiável de uma ferramenta.

"A execução em tempo de execução transforma os dados controlados pelo atacante em instruções fiáveis ​​que o agente seguirá", escreveu na sua divulgação.

Quando um utilizador pede ao Grok para resumir ou analisar uma página web, o assistente procura-a, desencripta a carga útil oculta e segue-a.

As instruções decifradas dizem ao Grok para criar algo que se assemelhe a uma chave de decifração. É derivado do nome do utilizador, da localização aproximada, do nível de assinatura e do conjunto completo de prompts dessa conversa.

De seguida, o código é associado a um URL que direciona para o servidor do atacante. Assim que o Grok abre o URL, os dados são registados nos registos do atacante.

A xAI tem o relatório retido desde 3 de junho

A xAI está ciente deste ataque desde 3 de junho de 2026, quando Utevsky reportou o bug diretamente e através do programa de recompensas por bugs da empresa no HackerOne.

A xAI tomou conhecimento do relatório, mas não informou um prazo para a correção. Utevsky afirma ter voltado a levantar a questão a 4 e 10 de agosto. Até 19 de agosto, a vulnerabilidade ainda estava ativa no Grok.com.

A Adversa está apenas a divulgar o mecanismo de ataque, e a correção recomendada está na infraestrutura do agente.

Há alguns dias, o modelo Gemini 3.7 Flash da Google gerou material normalmente bloqueado pelos seus filtros. Isto inclui instruções para construir uma arma incendiária e uma cópia do próprio prompt do sistema do modelo.

Esta versão é um jailbreak direto. Utevsky disse que isto ocorre porque o ambiente Python do Gemini não consegue aceder a sites externos. A Google considera que os jailbreaks estão fora do âmbito do seu programa de divulgação.

A taxa de sucesso do Gemini caiu drasticamente em agosto. A Adversa não conseguiu apontar uma atualização de filtro, uma mudança de modelo ou ambas como a causa.

Em maio, Cryptopolitan noticiou que um utilizador do X escreveu uma mensagem em código Morse que contornava as medidas de segurança do bot e fazia com que o Grok instruísse o agente ligado Bankrbot a enviar cerca de 200.000 dólares em tokens DRB para a Base.