加密网页载荷使Grok成为聊天历史泄露源

区块链文库报道：

黑客仍可通过加密文本注入攻击窃取Grok用户隐私数据

据Adversa AI于周四发布的报告，聊天机器人Grok依然存在将用户私人聊天数据泄露给黑客的安全漏洞。攻击者通过将恶意指令隐藏在看似正常的网页加密文本中，从而获取这些数据。这家网络安全公司早在两个多月前就向xAI发出警告，但截至目前，官方尚未发布修复补丁。

密文绕过Grok的安全过滤器

Adversa研究员Rony Utevsky将这种攻击方式称为“加密上下文注入”。该攻击能够轻松绕过聊天机器人自身的安全过滤器。大多数大语言模型会对输入和输出的文本进行可疑指令检测，但此攻击成功将恶意文本隐藏，使其无法被Grok的过滤器识别。

攻击者将恶意指令进行加密，页面上只留下密文、密钥以及解密说明。过滤器仅读取文本内容而不执行，因此密文得以通过。随后，Grok在其代码沙箱中解密该密文，并将解密后的纯文本视为可信工具的输出。Adversa在披露报告中指出：“运行时环境会将攻击者控制的数据‘洗白’为智能体可执行的指令。”

当用户要求Grok总结或分析某个网页时，智能体会抓取该页面，解密其中隐藏的载荷，并执行后续指令。解密后的指令会指示Grok生成一个看似解密密钥的字符串——该字符串源自用户的用户名、大致地理位置、订阅等级以及该对话中的完整提示词集合。随后，这个字符串被附加到一个指向攻击者服务器的URL中。一旦Grok打开该URL，用户数据便落入攻击者的日志记录中。

xAI自6月3日起便已知晓此漏洞

xAI自2026年6月3日起就已获悉该攻击方式——Utevsky通过公司HackerOne漏洞赏金计划直接提交了报告。xAI虽已收到报告，但未给出修复时间表。Utevsky表示，他于8月4日和8月10日再次提及此事。截至8月19日，该漏洞在Grok网站上仍可被利用。Adversa仅公开了攻击机制，并建议在智能体的控制框架中实施修复。

数日前，谷歌的Gemini 3.7 Flash模型生成了原本应被其过滤器拦截的内容，包括制造燃烧武器的说明以及模型自身的系统提示词副本。这是一种直接的越狱方式。Utevsky指出，这是因为Gemini的Python环境无法访问外部网站。谷歌认为此类越狱行为不属于其披露计划的范畴。到8月，Gemini的越狱成功率大幅下降，但Adversa无法确定是过滤器更新、模型变更，还是两者共同作用的结果。