新たな暗号化コンテキスト・インジェクション攻撃、Grokのチャットデータが盗まれるリスク

Adversa AIは、ユーザーが普通のウェブページを要約するよう求めた後、xAIのGrokチャットボットにユーザーの名前、おおよその位置、サブスクリプション層、および進行中の会話のプロンプトを攻撃者が制御するサーバーに送信させることができる攻撃手法を公開しました。

このAIセキュリティ企業は、この手法に「Cryptographic Context Injection」というコードネームを付けており、概念実証デモンストレーションでは、確認ステップなし、かつ目に見える警告なしで転送が完了したと述べています。

パッチ、CVE識別子、ユーザー向けの回避策はなく、このレポートでは実際の悪用事例は報告されていません。どのビルドがテストされたかという質問に対し、AdversaはThe Hacker Newsに、対象はGrok 4.5 Fastを実行しているgrok.comのGrokウェブチャットであり、攻撃は2026年8月19日に一度再現されたと語りました。

レポートには成功率は記載されていません。同社は、6月以来20回攻撃を試み、成功率は40%であったこと、そして失敗の原因はプロンプトやレスポンスのフラグ立てではなく、Grokが復号に苦労したことによるものであると述べています。

この手法は、攻撃者の指示を読み取り可能なテキストではなく暗号文として送信します。ページには暗号化されたJSONオブジェクト、キー素材、およびそれを復号する指示が含まれており、Grokはそれを独自のPythonコード実行ランタイムで実行します。

平文の復元にはPBKDF2とAES-256-GCMの実行が必要であり、コンテンツ分類器は検査時にこれを行いません。したがって、指示はフェッチされたウェブコンテンツとしてではなく、モデルが実行したばかりのコードの出力としてモデルのコンテキストに到達します。

「強力な暗号化はコンテンツ分類器で読み取ることができず、ウェイト内でショートカットすることもできないため、攻撃が依存するランタイムを介した復元が強制されます。より弱いエンコーディングでも特定のターゲットの特定のフィルタをバイパスできるかどうかは、経験的な問題です」とAdversa AIのリード研究員であるRony Utevskyは述べています。

復号された指示は、エージェントにプライベートセッションコンテキストを解決し、それを「追加のコンテキストを取得する」ために開くよう指示されたURLに埋め込むよう指示します。

チェーンの要素の一つとして、モデルはキー素材ではない追加の「復号キー」を構築します。その値は、名前、場所、層、およびチャット履歴を補間するテンプレート文字列です。その後、Grokは独自のナビゲーションツールを呼び出してそのURLを読み込み、リクエストのクエリパラメータにデータを乗せます。

Utevsky氏によると、テストされたシナリオで取得されたプロンプトは進行中の会話に限定されており、抽出されたものはすべてすでにモデルのコンテキスト内にあったとのことです。エージェントの範囲は、「コンテキスト内に保持されているもの、またはツールで取得できるものすべて」に及ぶと同氏は述べ、同社が他のチャット、エージェントのメモリ、または他のコンテンツにアクセスできるかどうかはテストしていないと付け加えました。