Forskare: Grok läcker användarchattar via oåtgärdad sårbarhet

Cybersäkerhetsföretaget Adversa AI har offentliggjort en sårbarhet i xAI:s Grok-chatbot som gör det möjligt för angripare att stjäla användarnamn, ungefärliga platser, abonnemangsnivåer och fullständiga chatthistoriker genom att dölja krypterade kommandon på en vanlig webbsida. Utnyttjandet, som Adversa rapporterade till xAI den 3 juni 2026, var fortfarande oåtgärdat den 19 augusti, mer än 11 veckor senare.

Hur attacken fungerar

Tekniken, som Adversa-forskaren Rony Utevsky har döpt till "Cryptographic Context Injection", utnyttjar glappet mellan Groks säkerhetsfilter och dess förmåga att exekvera kod. Standardförsvar mot prompt-injektion skannar inkommande text efter misstänkta instruktioner, men denna attack krypterar den skadliga nyttolasten med AES-256-GCM innan den bäddas in på en webbsida. Eftersom filtret läser text men aldrig exekverar den, passerar chiffertexten obemärkt.cryptopolitan+3

När en användare ber Grok att sammanfatta eller analysera den förgiftade sidan, hämtar chatboten den, stöter på chiffertexten tillsammans med en dekrypteringsnyckel och instruktioner, och dekrypterar nyttolasten inuti sin egen kod-sandlåda. Grok behandlar sedan den resulterande klartexten som betrodd verktygsutdata. "Runtime-exekveringen tvättar angriparstyrd data till betrodda instruktioner som agenten kommer att agera utifrån," skrev Adversa i sin rapport.arstechnica+1

De dekrypterade instruktionerna dirigerar Grok att konstruera vad som ser ut som en dekrypteringsnyckel, men som i själva verket härleds från användarens personuppgifter och chatt-prompter, för att sedan bifoga den till en URL som pekar mot angriparens server. När Grok öppnar den URL:en hamnar den exfiltrerade datan i angriparens loggar.cryptopolitan

xAI:s fördröjda respons

Utevsky rapporterade sårbarheten direkt till xAI och via företagets HackerOne-buggprogram den 3 juni 2026. Enligt Ars Technica bekräftade xAI rapporten men har inte gett någon tidsplan för en åtgärd. Utevsky uppgav att han tog upp frågan igen den 4 augusti och 10 augusti, och att utnyttjandet fortfarande fungerade på Grok.com den 19 augusti.theregister+2

Bredare kontext

Avslöjandet kommer under en period av ökad granskning av säkerheten kring AI-agenter. Tidigare i veckan demonstrerade forskare separat en dataexfiltreringsattack mot Microsoft 365 ↘ 1.93% Copilot för företag. I maj avslöjade Adversa en separat sårbarhet i flera AI-kodassistenter, inklusive Grok, som gjorde det möjligt för skadliga arkiv att uppnå fjärrkodexekvering.adversa+1

Adversa uppgav att de endast publicerar attackmekanismen och att den rekommenderade åtgärden ligger i agentens runtime-miljö snarare än i själva modellen. xAI svarade inte offentligt på avslöjandet vid tidpunkten för publicering.cryptopolitan