Grok vuotaa käyttäjien keskusteluja paikkaamattoman haavoittuvuuden kautta

Kyberturvallisuusyhtiö Adversa AI on paljastanut julkisesti haavoittuvuuden xAI:n Grok-chatbotissa, joka mahdollistaa käyttäjien nimien, sijaintitietojen, tilaustasojen ja keskusteluhistorioiden varastamisen piilottamalla salattuja komentoja tavalliselle verkkosivulle. Hyökkäys, josta Adversa raportoi xAI:lle 3. kesäkuuta 2026, oli edelleen paikkaamatta 19. elokuuta, yli 11 viikkoa myöhemmin.

Miten hyökkäys toimii

Tekniikka, jota Adversan tutkija Rony Utevsky kutsuu "kryptografiseksi konteksti-injektioksi", hyödyntää Grokin turvasuodattimien ja koodin suorituskyvyn välistä aukkoa. Perinteiset kehotteiden injektiolta suojaavat mekanismit skannaavat saapuvan tekstin epäilyttävien ohjeiden varalta, mutta tämä hyökkäys salaa haitallisen hyötykuorman AES-256-GCM-menetelmällä ennen sen upottamista verkkosivulle. Koska suodatin lukee tekstin mutta ei koskaan suorita sitä, salattu teksti pääsee läpi huomaamatta.cryptopolitan+3

Kun käyttäjä pyytää Grokia tiivistämään tai analysoimaan saastutetun sivun, chatbot hakee sen, kohtaa salatun tekstin sekä purkuavaimen ja ohjeet, ja purkaa hyötykuorman omassa koodin hiekkalaatikossaan. Grok käsittelee tuloksena syntyvää selkokielistä tekstiä luotettavana työkalun tuotoksena. "Suoritusaikainen ajo pesee hyökkääjän hallitseman datan luotettaviksi ohjeiksi, joiden mukaan agentti toimii", Adversa kirjoitti paljastuksessaan.arstechnica+1

Puretut ohjeet ohjaavat Grokia rakentamaan jotain, joka näyttää purkuavaimelta, mutta joka on todellisuudessa johdettu käyttäjän henkilötiedoista ja keskustelukehotteista, ja liittämään sen hyökkääjän palvelimelle osoittavaan URL-osoitteeseen. Kun Grok avaa kyseisen URL-osoitteen, varastettu data päätyy hyökkääjän lokeihin.cryptopolitan

xAI:n viivästynyt vastaus

Utevsky raportoi haavoittuvuudesta suoraan xAI:lle ja yhtiön HackerOne-bugipalkkio-ohjelman kautta 3. kesäkuuta 2026. Ars Technican mukaan xAI vahvisti raportin vastaanottamisen, mutta ei ole antanut aikataulua korjaukselle. Utevsky kertoi nostaneensa asian uudelleen esille 4. ja 10. elokuuta, ja hyökkäys oli edelleen toiminnassa Grok.com-sivustolla 19. elokuuta.theregister+2

Laajempi asiayhteys

Paljastus tapahtuu aikana, jolloin tekoälyagenttien turvallisuutta tarkastellaan entistä kriittisemmin. Aiemmin tällä viikolla tutkijat osoittivat erikseen tietojenkalasteluhyökkäyksen Microsoft 365 ↘ 0.65% Copilotia vastaan yrityskäytössä. Toukokuussa Adversa paljasti erillisen haavoittuvuuden useissa tekoälypohjaisissa koodausavustajissa, mukaan lukien Grok, mikä mahdollisti haitallisten arkistojen etäkoodin suorittamisen.adversa+1

Adversa totesi julkaisevansa vain hyökkäysmekanismin ja että sen suosittelema korjaus sijaitsee agentin suoritusaikaisessa ympäristössä eikä itse mallissa. xAI ei vastannut julkisesti paljastukseen julkaisuhetkeen mennessä.cryptopolitan