Grok filtra chats de usuarios mediante una vulnerabilidad sin parchear

La firma de ciberseguridad Adversa AI ha revelado públicamente una vulnerabilidad en el chatbot Grok de xAI que permite a los atacantes robar nombres de usuario, ubicaciones aproximadas, niveles de suscripción e historiales completos de chat ocultando comandos cifrados en una página web común. El exploit, que Adversa reportó a xAI el 3 de junio de 2026, permanecía sin parchear hasta el 19 de agosto, más de 11 semanas después.

Cómo funciona el ataque

La técnica, que el investigador de Adversa Rony Utevsky ha denominado "Inyección de Contexto Criptográfico", explota la brecha entre los filtros de seguridad de Grok y sus capacidades de ejecución de código. Las defensas estándar contra inyección de prompts escanean el texto entrante en busca de instrucciones sospechosas, pero este ataque cifra la carga maliciosa usando AES-256-GCM antes de incrustarla en una página web. Debido a que el filtro lee el texto pero nunca lo ejecuta, el texto cifrado pasa desapercibido.cryptopolitan+3

Cuando un usuario pide a Grok que resuma o analice la página infectada, el chatbot la recupera, encuentra el texto cifrado junto con una clave de descifrado e instrucciones, y descifra la carga dentro de su propio entorno de pruebas de código. Grok luego trata el texto plano resultante como una salida de herramienta confiable. "La ejecución en tiempo de ejecución blanquea los datos controlados por el atacante convirtiéndolos en instrucciones confiables sobre las que actuará el agente", escribió Adversa en su revelación.arstechnica+1

Las instrucciones descifradas dirigen a Grok a construir lo que parece ser una clave de descifrado, pero que en realidad se deriva de los datos personales y los prompts de chat del usuario, para luego adjuntarla a una URL que apunta al servidor del atacante. Una vez que Grok abre esa URL, los datos exfiltrados terminan en los registros del atacante.cryptopolitan

La respuesta tardía de xAI

Utevsky reportó la vulnerabilidad directamente a xAI y a través del programa de recompensas por errores HackerOne de la compañía el 3 de junio de 2026. Según Ars Technica, xAI reconoció el informe pero no ha proporcionado un cronograma para una solución. Utevsky dijo que volvió a plantear el problema el 4 y el 10 de agosto, con el exploit aún funcional en Grok.com hasta el 19 de agosto.theregister+2

Contexto más amplio

La revelación llega durante un período de mayor escrutinio sobre la seguridad de los agentes de IA. A principios de esta semana, investigadores demostraron por separado un ataque de exfiltración de datos contra Microsoft 365 ↘ 0.65% Copilot para empresas. En mayo, Adversa reveló una vulnerabilidad separada en múltiples asistentes de codificación de IA, incluido Grok, que permitía a repositorios maliciosos lograr la ejecución remota de código.adversa+1

Adversa dijo que solo está publicando el mecanismo de ataque y que su solución recomendada reside en el entorno de ejecución del agente en lugar de en el modelo mismo. xAI no respondió públicamente a la revelación al momento de la publicación.cryptopolitan