Forscher: Grok leckt Nutzer-Chats durch ungepatchte Sicherheitslücke

Das Cybersicherheitsunternehmen Adversa AI hat eine Schwachstelle im Grok-Chatbot von xAI öffentlich gemacht, die es Angreifern ermöglicht, Benutzernamen, ungefähre Standorte, Abonnementstufen und vollständige Chatverläufe zu stehlen, indem sie verschlüsselte Befehle auf einer gewöhnlichen Webseite verstecken. Der Exploit, den Adversa am 3. Juni 2026 an xAI meldete, war auch am 19. August, mehr als 11 Wochen später, noch ungepatcht.

Funktionsweise des Angriffs

Die Technik, die Adversa-Forscher Rony Utevsky als "Cryptographic Context Injection" bezeichnet hat, nutzt die Lücke zwischen Groks Sicherheitsfiltern und seinen Code-Ausführungsfähigkeiten aus. Standardmäßige Abwehrmechanismen gegen Prompt-Injection scannen eingehenden Text auf verdächtige Anweisungen, aber dieser Angriff verschlüsselt die schädliche Nutzlast mit AES-256-GCM, bevor sie auf einer Webseite eingebettet wird. Da der Filter Text liest, ihn aber niemals ausführt, passiert der Chiffretext unentdeckt die Sicherheitskontrollen.cryptopolitan+3

Wenn ein Nutzer Grok bittet, die manipulierte Seite zusammenzufassen oder zu analysieren, ruft der Chatbot diese ab, stößt auf den Chiffretext zusammen mit einem Entschlüsselungsschlüssel und Anweisungen und entschlüsselt die Nutzlast in seiner eigenen Code-Sandbox. Grok behandelt dann den resultierenden Klartext als vertrauenswürdige Werkzeugausgabe. "Die Laufzeitausführung wäscht vom Angreifer kontrollierte Daten in vertrauenswürdige Anweisungen, auf die der Agent reagieren wird", schrieb Adversa in seiner Offenlegung.arstechnica+1

Die entschlüsselten Anweisungen weisen Grok an, einen scheinbaren Entschlüsselungsschlüssel zu konstruieren, der jedoch tatsächlich aus den persönlichen Daten und Chat-Prompts des Nutzers abgeleitet ist, und diesen dann an eine URL anzuhängen, die auf den Server des Angreifers verweist. Sobald Grok diese URL öffnet, landen die exfiltrierten Daten in den Protokollen des Angreifers.cryptopolitan

Verzögerte Reaktion von xAI

Utevsky meldete die Schwachstelle am 3. Juni 2026 direkt an xAI und über das HackerOne-Bug-Bounty-Programm des Unternehmens. Laut Ars Technica bestätigte xAI den Bericht, hat aber keinen Zeitplan für eine Fehlerbehebung vorgelegt. Utevsky gab an, das Problem am 4. und 10. August erneut angesprochen zu haben, wobei der Exploit auf Grok.com am 19. August immer noch funktionierte.theregister+2

Breiterer Kontext

Die Offenlegung erfolgt in einer Zeit verstärkter Prüfung der Sicherheit von KI-Agenten. Anfang dieser Woche demonstrierten Forscher unabhängig voneinander einen Datenexfiltrationsangriff gegen Microsoft 365 ↘ 1.93% Copilot für Unternehmen. Im Mai deckte Adversa eine separate Schwachstelle in mehreren KI-Code-Assistenten auf, darunter Grok, die es bösartigen Repositories ermöglichte, eine Remote-Code-Ausführung zu erreichen.adversa+1

Adversa erklärte, dass sie nur den Angriffsmechanismus veröffentlichen und dass die empfohlene Lösung in der Laufzeitumgebung des Agenten und nicht im Modell selbst liegt. xAI reagierte bis zum Zeitpunkt der Veröffentlichung nicht öffentlich auf die Offenlegung.cryptopolitan