Дослідники з компанії Adversa AI виявили небезпечну вразливість у вебверсії Grok. Штучний інтелект можна змусити виконувати приховані команди, розміщені на спеціально підготовленій вебсторінці. Атака використовує різновид prompt injection, коли шкідливі інструкції маскуються під звичайний контент, який AI має прочитати або підсумувати.
Цього разу дослідники використали незвичайний підхід – шифрування. Зловмисник розміщує на сторінці зашифрований текст разом із ключем для його розшифрування. Захисний фільтр Grok не бачить у ньому небезпечної команди, тому пропускає інформацію далі. Після цього модель сама розшифровує інструкцію та може виконати її.
Дослідники назвали техніку cryptographic context injection. У демонстрації їм вдалося змусити Grok передати з чату користувача його ім’я, приблизне місцезнаходження, тип підписки та повний список запитів. Ці дані передавалися через URL як параметри. Таким чином, проблема стосується не лише обходу захисних фільтрів, а й потенційного витоку приватної інформації.
За даними дослідників, xAI отримала інформацію про вразливість ще 3 червня 2026 року через пряме звернення та програму HackerOne. Компанія підтвердила отримання повідомлення, але не назвала терміни виправлення. Станом на 19 серпня, за словами Adversa AI, атака все ще працювала на Grok.com. Інші AI-системи також можуть мати подібні проблеми, хоча механізм атаки залежить від доступних їм інструментів.
Думка редакції
Цей випадок показує головну проблему сучасних AI-агентів: вони вже не просто читають текст, а можуть використовувати код, відкривати сторінки та працювати з іншими інструментами. Через це звичайний захисний фільтр може не помітити небезпеку, яка виникає лише після обробки кількох компонентів. Особливо тривожно, що атака здатна використовувати звичайну вебсторінку як спосіб передачі прихованих команд. Для розробників це чергове нагадування, що безпека AI має враховувати не тільки саму модель, а й усе її програмне оточення.
