新たに公表されたプロンプトインジェクション手法により、xAIのGrokウェブチャットで「このページを要約して」というごく普通のリクエストが、静かなデータ流出攻撃に変わってしまう可能性があることが報告されました。この手法によってユーザーの氏名、おおよその位置情報、サブスクリプションの契約プラン、さらには現在進行中の会話履歴までもが流出する恐れがあるといいます。
Adversa AIのセキュリティ研究者は、この手法をCryptographic Context Injection(暗号学的コンテキストインジェクション)と名付けました。この攻撃は、Grokがウェブページを閲覧し、統合されたPythonサンドボックス上でコードを実行できる機能を悪用するもので、攻撃者が管理するページ上に隠された指示が復号され、信頼できる内部コンテキストとして扱われてしまいます。
Adversa AIによると、概念実証(PoC)はgrok.com上のGrok 4.5 Fastを対象にテストされ、確認ダイアログや目に見える警告なしに攻撃が完了したとのことです。
Rony Utevsky氏によれば、この攻撃は被害者がGrokに対し、攻撃者が管理するウェブページの要約を依頼した時点で実行され、それ以上の操作は一切必要ないといいます。
悪意あるウェブページには、一見無害に見える暗号化されたJSONオブジェクト、鍵素材、そしてGrokにPythonランタイム経由でその内容を復号するよう指示する短い命令文が含まれています。
このペイロードはPBKDF2およびAES-256-GCM暗号化を使用しており、従来型のプロンプトインジェクションフィルターでは隠された命令を検査できない仕組みになっています。
Base64エンコーディング、換字式暗号、Unicodeを用いた難読化といった従来型の回避手法とは異なり、強力な暗号化はLLMが学習済みのモデル重みから確実に復号することができません。
そのため、アシスタント側はインタープリターやコード実行環境を呼び出して平文を復元する必要があります。サンドボックスがコンテンツを復号した時点で、この攻撃はいわゆる信頼境界の破綻を突くとされています。
Grokは、その結果得られた平文を、外部ウェブページから届いた信頼できないコンテンツとしてではなく、信頼できるツール出力または内部ランタイムの状態として解釈してしまいます。
この区別により、攻撃者が制御する命令は、本来はエージェント自身の環境内で生成された情報にのみ許されるはずの影響力を得てしまうのです。
復号された命令は、エージェントに対して非公開のセッション情報を取得し、それを偽の「復号鍵」に組み込むよう指示します。実際にはこの「鍵」は、現在進行中のチャットのプロンプト履歴を含む被害者固有の値が埋め込まれたテンプレート文字列に過ぎません。
続いてペイロードは、Grokに「追加のコンテキスト」を収集するためとしてURLを開くよう指示します。Grokのナビゲーション機能によって、盗み出した情報がURLのクエリパラメータに埋め込まれた状態で攻撃者管理下のアドレスが読み込まれ、攻撃者のサーバーがそのデータを収集できる仕組みです。
Adversaは2026年6月3日、この問題をxAIおよび同社のHackerOneプログラムに報告しました。xAIは報告を受理したものの、研究者らによると、修正の具体的な時期については提示しなかったといいます。8月4日と8月10日に送られた追加連絡にも、それ以上の返信はありませんでした。
研究者らによれば、8月19日の時点でもこの攻撃チェーンは再現可能だったとのことです。6月以降の約20回の試行では、成功率はおよそ40パーセントだったと報告されています。
失敗した試行は、プロンプトインジェクション対策によってペイロードがブロックされたのではなく、復号処理そのものの失敗が原因でした。現時点でCVE番号や公開パッチ、実際の悪用事例の報告はありません。
Adversaは同様の暗号学的プロンプトインジェクション手法を、Deep ThinkingモードのGoogle Geminiに対しても実証しています。このGeminiのテストでは、捏造されたPythonのトレースバック、偽の安全ポリシーコールバック、そして一人称視点の推論プレフィックスを含む暗号化されたデータブロックが使用されました。
研究者らによると、Geminiはサンドボックスの出力を自らの成果物として扱い、通常であれば安全対策によって抑制されるはずのコンテンツを生成しました。さらに、改変したテストでは、本来開示されるべきではないシステム指示文まで再現してしまったといいます。
今回の研究は、プロンプトインジェクションがもはやチャットウィンドウに悪意あるテキストを貼り付けるだけの手口にとどまらず、大きく進化していることを浮き彫りにしています。エージェント型のAIシステムでは、モデルが信頼を寄せうるあらゆる情報源――ブラウザのコンテンツ、ツールの出力、コード実行結果、メモリ、ランタイムの状態など――が攻撃対象となり得るのです。
研究者らは、適切な対策はモデルの重みだけに頼るのではなく、アプリケーション側のハーネスに求められるべきだと主張しています。
AIプロバイダーは、データの出所を明確に保持し、信頼できないウェブページのコンテンツを隔離し、外部送信先へのアクセスにはユーザーの承認を必須とし、さらに信頼できないコンテンツ・コード実行・機密コンテキストへのアクセス・予期しないネットワーク送信が絡む危険な処理の連鎖を検知する仕組みを整えるべきです。
不審なアクティビティをより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、あなたのセキュリティチームに。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/grok-zero-click-attack-steals-chat-history/
