Verschlüsselte Webseiten-Nutzdaten machen Grok zu einem Chatverlauf-Leck

Laut einem am Donnerstag veröffentlichten Bericht von Adversa AI gibt Grok weiterhin private Chatdaten von Nutzern an Hacker weiter.

Hacker erlangen Zugriff auf diese Daten, indem sie Befehle in verschlüsselten Text einschleusen, der auf normal aussehenden Webseiten zu finden ist. Das Cybersicherheitsunternehmen informierte xAI bereits vor über zwei Monaten; eine Lösung ist jedoch noch nicht verfügbar.

Der Chiffretext durchläuft den Filter von Grok

Der Adversa-Forscher Rony Utevsky nannte den Angriff „kryptografische Kontextinjektion“. Er umgeht problemlos den eigenen Sicherheitsfilter des Chatbots.

Die meisten LLMs filtern ein- und ausgehenden Text auf verdächtige Befehle. Dieser Angriff verbirgt jedoch schädlichen Text vor dem Filter von Grok.

Die bösartige Anweisung ist verschlüsselt, sodass auf der Seite nur noch der Geheimtext, der Schlüssel und ein Hinweis zur Entschlüsselung verbleiben.

Der Filter liest den Text, führt ihn aber nie aus, sodass der Chiffretext durchgelassen wird. Grok entschlüsselt ihn dann in seiner Code-Sandbox. Der dabei ausgegebene Klartext wird als Ausgabe eines vertrauenswürdigen Tools behandelt.

„Die Laufzeitausführung wandelt vom Angreifer kontrollierte Daten in vertrauenswürdige Anweisungen um, auf deren Grundlage der Agent handeln wird“, schrieb in seiner Offenlegung.

Wenn ein Benutzer Grok bittet, eine Webseite zusammenzufassen oder zu analysieren, ruft der Assistent diese ab, entschlüsselt die versteckte Nutzlast und verfolgt sie.

Die entschlüsselten Anweisungen weisen Grok an, etwas zu erstellen, das wie ein Entschlüsselungsschlüssel aussieht. Es wird aus dem Namen des Benutzers, dem ungefähren Standort, dem Abonnementmodell und den vollständigen Eingabeaufforderungen aus diesem Gespräch abgeleitet.

Anschließend wird die URL angehängt, die zum Server des Angreifers führt. Sobald Grok die URL öffnet, landen die Daten in den Protokolldateien des Angreifers.

xAI hat den Bericht seit dem 3. Juni zurückgehalten

xAI ist sich dieses Angriffs seit dem 3. Juni 2026 bewusst, als Utevsky den Fehler direkt und über das HackerOne-Programm des Unternehmens für Bug-Bounty-Prämien meldete.

xAI hat den Bericht zur Kenntnis genommen, aber keinen Zeitplan für einen Patch genannt. Utevsky gibt an, das Problem am 4. und 10. August erneut angesprochen zu haben. Am 19. August funktionierte die Sicherheitslücke auf Grok.com weiterhin.

Adversa veröffentlicht lediglich den Angriffsmechanismus, die empfohlene Lösung befindet sich im Agenten-Harness.

Vor einigen Tagen erzeugte Googles Gemini 3.7 Flash-Modell Material, das normalerweise von seinen Filtern blockiert wird. Dazu gehören Anleitungen zum Bau einer Brandwaffe und eine Kopie der Systemaufforderung des Modells selbst.

Diese Version ist ein direkter Jailbreak. Laut Utevsky liegt das daran, dass die Python-Umgebung von Gemini nicht auf externe Websites zugreifen kann. Google betrachtet Jailbreaks als außerhalb des Geltungsbereichs seines Offenlegungsprogramms.

Die Erfolgsquote von Gemini sank bis August rapide. Adversa konnte weder ein Filter-Update noch eine Modelländerung oder beides als Ursache ausmachen.

Im Mai berichtete Cryptopolitan , dass ein Benutzer auf X eine Nachricht in Morsecode verfasst hatte, die die Sicherheitsvorkehrungen des Bots umging und Grok dazu brachte, dem verknüpften Agenten Bankrbot mitzuteilen, dass er DRB-Token im Wert von rund 200.000 US-Dollar auf Base senden sollte.

Die klügsten Köpfe der Krypto-Szene lesen bereits unseren Newsletter. Möchten Sie auch dabei sein? Dann schließen Sie sich ihnen an.