新たに公表されたプロンプトインジェクション手法により、xAIのGrokウェブチャットに対する「ウェブページを要約して」という何気ないリクエストが、密かなデータ窃取攻撃へと変わりかねないことが分かりました。ユーザーの氏名、おおよその位置情報、サブスクリプションのプラン、そして進行中の会話履歴までもが流出する恐れがあります。
Adversa AIのセキュリティ研究者らは、この手法を「Cryptographic Context Injection（暗号的コンテキストインジェクション）」と名付けています。この攻撃は、Grokがウェブページを閲覧し、統合されたPythonサンドボックスでコードを実行する機能を標的にしています。
セキュリティコンサルティングサービス
攻撃者が管理するウェブページ上に隠された指示は暗号化されており、アシスタント自身の実行環境によって復号された後、信頼できる内部コンテキストとして扱われるとされています。
ゼロクリックGrok攻撃
Adversa AIによれば、同社の概念実証(PoC)はgrok.com上のGrok 4.5 Fastを対象にテストされました。研究者らによると、このチェーンは被害者が最初にリクエストを送った後、確認ダイアログや目に見える警告、被害者側のさらなる操作なしに完了したとのことです。
研究者のRony Utevsky氏によると、攻撃は被害者がGrokに対し、攻撃者が管理するウェブページの要約を依頼するところから始まる可能性があります。そのページには、一見無害な暗号化済みJSONオブジェクトと暗号鍵素材、そしてAIにPythonランタイムを使ってこのデータを復号するよう求める簡潔な指示が含まれています。
このペイロードはPBKDF2による鍵導出とAES-256-GCM暗号化を利用しています。これにより、Base64エンコードや置換暗号、Unicode難読化といった従来のプロンプトインジェクション回避手法とは本質的に異なるものになっています。
LLMは学習データから単純な変換であれば推測・デコードできる場合があります。しかし、強力に暗号化されたコンテンツは、モデルの重みだけから確実に復元することはできません。そのためアシスタントは、隠された平文を復号するために、コードインタープリタやサンドボックスを呼び出す必要があります。
Adversa AIによると、GrokのPython環境がペイロードを復号すると、攻撃は信頼境界の破綻を突く形で進行します。復元された指示を引き続き「信頼できないウェブページのコンテンツ」として扱うのではなく、Grokはこれを信頼できるツール出力または内部ランタイムの状態として解釈してしまうとされています。
この区別の破綻により、攻撃者が制御する指示に対して、本来はエージェント自身の環境内で生成されたコンテンツにのみ許されるはずの影響力が与えられてしまう可能性があります。
復号されたプロンプトは、Grokに機密性の高いセッション情報を取得させ、それを一見「復号鍵」のように見えるものに挿入するよう指示します。実際には、その「鍵」は進行中のプロンプト履歴を含む、被害者固有のデータで埋められたテンプレートです。
続いてこのペイロードは、エージェントに対し、追加のコンテキストを取得するためとして別のURLへ移動するよう指示します。Grokのブラウザ機能は、攻撃者が管理する送信先を読み込み、収集された情報がURLのクエリパラメータに埋め込まれた状態でリクエストが送られるため、攻撃者側のサーバーがその情報を受け取れる仕組みです。
Adversa AIはこの問題を2026年6月3日、xAIおよび同社のHackerOneプログラムに報告しました。研究者らによると、xAIは報告の受領を認めたものの、修正の見通しは示されなかったとのことです。8月4日と8月10日に送った追跡確認のメッセージにも、返信はなかったと報じられています。
同チームによれば、8月19日時点でもこの攻撃チェーンは再現可能だったとのことです。6月以降のおよそ20回の試行を通じて、報告された成功率は約40パーセントでした。
失敗した試行は、プロンプトインジェクション対策によってペイロードがブロックされたためではなく、復号の失敗によるものだったとされています。現時点でCVE番号や公開パッチ、実際の悪用が確認された証拠はありません。
Adversa AIはまた、Deep ThinkingモードのGoogle Geminiに対しても、同様の暗号化プロンプトインジェクション手法を実演しました。このテストでは、捏造されたPythonのトレースバック、偽の安全性ポリシーのコールバック、一人称視点の推論プレフィックスを含む暗号化されたデータブロックが使用されました。
今回の研究は、拡大し続けるエージェント型AIの攻撃対象領域を浮き彫りにしています。防御策としては、データの出所を保持すること、信頼できないウェブコンテンツを隔離すること、予期しない外部への遷移には承認を要求すること、そしてウェブコンテンツ・コード実行・機密コンテキストへのアクセス・ネットワーク送信を結びつける高リスクなチェーンを検知することが求められます。
コンピュータサイエンス
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/zero-click-grok-attack-prompt-injection/
