Исследователи обошли защиту Grok и Gemini, отправляя ИИ зашифрованные промпты
Исследователи из компании Adversa AI обнаружили способ обхода защитных механизмов Grok с помощью зашифрованных вредоносных инструкций. Атака, получившая название Cryptographic Context Injection, вынуждает ИИ передать на сервер злоумышленника данные из текущего чата, имя пользователя, его примерное местоположение и информацию о подписке.
Специалисты пишут, что для атаки достаточно создать специально подготовленную страницу и попросить Grok пересказать ее содержимое. Вместо обычного промпт-инжекта страница содержит зашифрованный JSON-объект, ключ и инструкцию для расшифровки. В результате Grok самостоятельно запускает код в своем Python-окружении и восстанавливает вредоносные инструкции с помощью PBKDF2 и AES-256-GCM.
Корень проблемы заключается в том, что статические фильтры анализируют входящий и исходящий текст, однако не выполняют код и не расшифровывают содержимое, и шифротекст выглядит для них безобидным. А после расшифровки вредоносный промпт попадает в контекст модели уже как результат работы ее собственного инструмента, поэтому не проходит повторную проверку.
Расшифрованные таким образом инструкции исследователей вынуждали Grok создать якобы дополнительный «ключ дешифрования». На самом деле это значение формировалось из приватного контекста сессии: содержимого текущего диалога, имени пользователя, данных о его примерном местоположении и уровне подписки. Вся эта информация добавлялась в параметры URL, после чего Grok открывал получившуюся ссылку через собственный инструмент навигации. В результате собранная информация передавалась на сервер атакующего, а пользователь не видел никаких дополнительных предупреждений.
Исследователи пишут, что тестировали атаку против веб-версии Grok 4.5 Fast. С июня 2026 года они провели 20 попыток, и примерно в 40% случаев атаки привели к успешному извлечению данных. При этом неудачные попытки атак в основном были связаны с ошибками Grok при расшифровке пейлоада, а не с обнаружением вредоносного промпта.
Специалисты отмечают, что тестировали атаку только в контексте текущего диалога и не выясняли, можно ли аналогичным образом добраться до других чатов, памяти ИИ и другой информации.
Еще 3 июня 2026 года исследователи уведомили разработчиков xAI о своих выводах через платформу HackerOne. Хотя отчет Adversa AI был принят и подтвержден, никакого ответа о возможном исправлении исследователи не получили. Повторные обращения 4 и 10 августа также остались без ответа.
В результате по состоянию на конец августа 2026 года для проблемы по-прежнему нет патчей или временных защитных мер, а также ей пока не присвоен идентификатор CVE.
Следует отметить, что ранее специалисты компании тестировали похожую технику атак на Gemini. В этом случае модель тоже сначала получала зашифрованные инструкции, которые выглядели для защитных механизмов как обычные данные. Но после расшифровки пейлоад превращался в поддельный Python traceback с промпт-инжектом: инструкцией прочитать сообщение об ошибке и выполнить содержащиеся в нем указания.
В результате исследователям удалось вынудить Gemini нарушить собственные ограничения. В частности, модель генерировала запрещенный контент с инструкциями по созданию оружия, а модифицированный вариант атаки позволял извлечь системные инструкции Gemini, в которых содержался прямой запрет на их раскрытие.
Хотя исследователи не уведомили об этих проблемах Google (поскольку джейлбрейки не входят в программу bug bounty), к августу 2026 года эффективность таких атак на Gemini заметно снизилась. Специалисты пишут, что не знают, чем именно это вызвано: обновлением защитных фильтров, сменой версии модели или обоими факторами.
В Adversa AI заключают, что атаки типа Cryptographic Context Injection являются следствием более масштабной проблемы: злоумышленники могут внедрять вредоносные инструкции не только в промпты, но также в результаты работы инструментов и промежуточные состояния, которые модель воспринимает как часть собственного контекста.
