Cryptographic Context Injection : così Grok si hackerò da solo!

I ricercatori di Adversa AI hanno scoperto che Grok, un'IA, può essere costretta a far trapelare la cronologia chat di altri utenti attraverso un attacco chiamato Cryptographic Context Injection. Questo metodo sfrutta la crittografia per nascondere comandi dannosi, che Grok decifra e esegue, bypassando i filtri di sicurezza.

Una semplice richiesta di riformulare una pagina web può comportare la condivisione della cronologia chat di Grok con un server di terze parti. I ricercatori di Adversa AI hanno trovato un modo per nascondere comandi dannosi dai filtri di sicurezza utilizzando la crittografia, quindi costringere Grok stesso a decrittografare le istruzioni ed eseguirle all’interno di un ambiente affidabile. Il metodo si chiama Cryptographic Context Injection o iniezione di contesto crittografico.

L’attacco sviluppa il noto problema della iniezione indiretta. L’aggressore inserisce il comando non in un messaggio al chatbot, ma in una fonte esterna, come un sito web, che l’utente chiede di studiare o raccontare. I moderni filtri di sicurezza hanno imparato a notare molte istruzioni sospette in testo normale, quindi gli specialisti di Adversa AI hanno deciso di nascondere il contenuto del comando utilizzando la crittografia completa.

La pagina dannosa contiene un blocco crittografato e dei materiali per ottenere la chiave e un comando di decrittazione. Il filtro esamina la pagina come testo normale e vede un insieme di caratteri senza significato. Per ripristinare il contenuto, è necessario eseguire PBKDF2 e AES-256-GCM, cosa che il classificatore statico non fa quando controlla i dati di input. Grok, d’altro canto, è in grado di eseguire il codice nel proprio runtime, quindi è il modello stesso a decifrare il blocco nascosto.

Il problema principale appare dopo la decrittazione. Il comando ricevuto non arriva più come testo sospetto da un sito esterno, ma come risultato del lavoro dell’ambiente software di Grok. Il modello inizia a percepire il risultato dell’esecuzione del codice come parte di un contesto affidabile e segue istruzioni nascoste. I ricercatori chiamano questa transizione “riciclaggio della fiducia”: i dati non attendibili passano attraverso il runtime e vengono restituiti al modello in una forma che riceve meno attenzione dai meccanismi di sicurezza.

Nella demo di Adversa AI, l’aggressore ha posizionato un blocco preparato su una normale pagina web, dopodiché l’utente ha chiesto a Grok di analizzarne il contenuto. Il comando decrittografato ha fatto sì che il chatbot raccogliesse il nome dell’utente, la posizione approssimativa, il livello di abbonamento e tutte le richieste dalla conversazione corrente. Grok ha poi inserito le informazioni nei parametri URL e ha avuto accesso autonomamente all’indirizzo controllato dai ricercatori. Il trasferimento è avvenuto senza ulteriore conferma e senza preavviso visibile.

Il principio è diverso dai vecchi tentativi di nascondere i comandi utilizzando Base64, scambio di caratteri e cifrature semplici. I modelli linguistici sono spesso in grado di riconoscere e decodificare tali costrutti da soli grazie ai dati di training. La crittografia avanzata priva il modello di questa scorciatoia e lo costringe a ricorrere all’ambiente di esecuzione del codice. Il filtro di sicurezza controlla il testo cifrato originale e l’istruzione reale appare successivamente, già all’interno del contesto lavorativo dell’agente.

Adversa AI ha testato un approccio simile sulla versione pubblica di Google Gemini. I ricercatori non sono stati in grado di replicare completamente lo scenario del furto della corrispondenza di Grok perché l’ambiente Python a disposizione di Gemini non poteva accedere a siti esterni arbitrari. Allo stesso tempo, l’inserimento del contesto crittografico ha permesso di aggirare alcune restrizioni di sicurezza e di ricevere risposte che il servizio solitamente bloccava. Ad agosto, l’efficienza del bypass era notevolmente diminuita, cosa che gli esperti attribuiscono a possibili modifiche nei filtri, nei modelli o in entrambi i componenti contemporaneamente.

I ricercatori hanno segnalato il problema a xAI il 3 giugno 2026, direttamente e tramite il programma Bounty HackerOne. L’azienda ha confermato di aver ricevuto la segnalazione ma, secondo Adversa AI, non ha fornito un periodo di tempo per risolvere il problema. Ulteriori ricorsi sono seguiti il ​​4 e 10 agosto. Il test del 19 agosto è riuscito comunque a riprodurre l’attacco a Grok.com. I ricercatori non forniscono informazioni pubbliche sull’utilizzo del metodo contro utenti reali; Adversa AI ha inoltre deciso di non pubblicare i payload del lavoro.

Il problema più ampio dell’iniezione indiretta di prompt è già stato discusso in precedenza: il rischio aumenta drammaticamente quando l’intelligenza artificiale ottiene non solo l’accesso a contenuti esterni, ma anche la capacità di eseguire codice, accedere alla rete e lavorare con i dati dell’utente. La Cryptographic Context Injection mostra un altro punto debole dell’architettura: filtrare il testo di input non è sufficiente se in seguito può verificarsi un’istruzione dannosa a seguito dell’esecuzione del codice. La protezione richiede il controllo dell’origine dei dati, restrizioni sulle richieste esterne e una verifica separata delle azioni prima di trasferire le informazioni all’esterno del servizio.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response