Thought Leadership
Adversa AI zeigt, wie sich Grok über verschlüsselte Prompt-Injection zum heimlichen Abfluss privater Chatdaten bringen lässt.
Anders als klassische Prompt-Injection-Angriffe versteckt die Technik ihre eigentlichen Anweisungen nicht als lesbaren Text, sondern als verschlüsseltes JSON-Objekt samt Schlüsselmaterial und der Aufforderung, dieses zu entschlüsseln, was Grok in seiner eigenen Python-Ausführungsumgebung tatsächlich durchführt. Da ein Inhaltsfilter die dafür nötige PBKDF2- und AES-256-GCM-Entschlüsselung zum Zeitpunkt der Prüfung nicht selbst durchführt, erreichen die eigentlichen Anweisungen das Modell nicht als abgerufener Webinhalt, sondern als Ergebnis von selbst ausgeführtem Code. Anschließend fordern die entschlüsselten Anweisungen den Assistenten auf, private Sitzungsdaten in eine URL einzubetten, die er angeblich zum Abrufen zusätzlichen Kontexts öffnen solle, tatsächlich jedoch Name, Standort, Abo-Stufe und Gesprächsverlauf über die Adresszeile an den Angreifer überträgt. Rony Utevsky, leitender Forscher bei Adversa AI, erklärte dazu:
„Starke Verschlüsselung kann von einem Inhaltsfilter nicht gelesen und nicht abgekürzt werden.“
Rony Utevsky, leitender Forscher bei Adversa AI
Nach Angaben des Unternehmens gelang der Angriff bei 20 Testversuchen seit Juni in 40 Prozent der Fälle, getestet wurde dabei der Webchat unter grok.com mit dem Modell Grok 4.5 Fast. Eine Reaktion von xAI blieb nach anfänglicher Bestätigung des am 3. Juni gemeldeten Fehlers laut Adversa ohne weitere Rückmeldung, ein Patch oder eine offizielle CVE-Kennung liegen bislang nicht vor. Adversa erklärte, die konkrete Angriffs-Nutzlast bewusst zurückzuhalten, um eine Ausnutzung zu erschweren.
Auch bei Google Gemini reproduziert
Eine zweite, im selben Bericht beschriebene Demonstration richtete sich gegen Googles Gemini im sogenannten Deep-Thinking-Modus, wo ein einzelner Prompt das Modell dazu brachte, eine gefälschte Python-Fehlermeldung samt vorgetäuschter Deaktivierung interner Sicherheitsregeln zu entschlüsseln und anschließend eigentlich eingeschränkte Inhalte auszugeben. Utevsky hatte dieselbe Grundtechnik bereits im März 2026 unter dem Namen Cryptographic Payload Injection auf seiner eigenen Website beschrieben, mit fünf von fünf erfolgreichen Reproduktionen sowie Vergleichstests, bei denen OpenAIs GPT-5 die Entschlüsselungsanweisungen nicht verarbeiten konnte und Anthropics Claude Sonnet 4.5 die Nutzlast nach der Entschlüsselung selbst als Prompt-Injection-Versuch erkannte.
Frühere Kritik an xAIs Umgang mit gemeldeten Schwachstellen
Der Sicherheitsforscher Johann Rehberger hatte bereits im Dezember 2024 eine vergleichbare Datenexfiltration über Grok in der iOS-App von X demonstriert und kritisiert, dass xAI die von ihm gemeldeten Probleme lediglich als rein informativ einstufte. Er kommentierte damals, er sei sich nicht sicher, wie das Auslesen von Chatnachrichten keine Schwachstelle sein solle. Adversa rät Unternehmen, die eigene KI-Agenten betreiben, nicht vertrauenswürdige Inhalte grundsätzlich ohne Werkzeugzugriff zu verarbeiten, unwiderrufliche und nach außen gerichtete Aktionen durch eine explizite Bestätigung abzusichern sowie verschlüsselte Textblöcke in Kombination mit einer Entschlüsselungsaufforderung stets als Prüfsignal statt als bloßen Blockierfilter zu behandeln.
(red)
