A Adversa AI divulgou uma técnica de ataque que, segundo a empresa, pode fazer o chatbot Grok, da xAI, enviar o nome do usuário, a localização aproximada, o nível da assinatura e os prompts da conversa em andamento para um servidor controlado pelo atacante depois que a vítima pede para resumir uma página web comum.
A empresa de segurança em IA, que batizou a técnica de “Cryptographic Context Injection”, afirmou que a transferência foi concluída sem etapa de confirmação e sem qualquer aviso visível em sua demonstração de prova de conceito.
Não há patch, nem identificador CVE, nem alternativa prática para o usuário, e o relatório não menciona exploração em ambiente real. Questionada sobre qual build havia sido testada, a Adversa informou, segundo os entrevistadores, que o alvo era o chat web do Grok em grok.com, executando o Grok 4.5 Fast, e que o ataque foi reproduzido uma vez em 19 de agosto de 2026.
O relatório não informa taxa de sucesso. A empresa disse ter tentado o ataque 20 vezes desde junho, com taxa de sucesso de 40%, e afirmou que as falhas ocorreram porque o Grok teve dificuldade para realizar a descriptografia, e não por causa de um prompt ou resposta sinalizados.
A técnica envia as instruções do atacante como ciphertext, e não como texto legível. A página carrega um objeto JSON criptografado, os materiais da chave e uma instrução para descriptografá-lo, algo que o Grok executa no próprio ambiente de execução de código Python.
Para recuperar o texto original, é necessário executar PBKDF2 e AES-256-GCM, o que um classificador de conteúdo não faz no momento da inspeção. Assim, as instruções chegam ao contexto do modelo como a saída de código que ele acabou de executar, e não como conteúdo web obtido diretamente.
“A criptografia forte não pode ser lida por um classificador de conteúdo e não pode ser simplificada nos pesos do modelo, então força a recuperação por meio do ambiente de execução do qual o ataque depende. Se uma codificação mais fraca também conseguiria contornar os filtros específicos de um alvo, isso é uma pergunta empírica”, disse Rony Utevsky, pesquisador principal da Adversa AI.
Em seguida, as instruções descriptografadas mandam o agente resolver o contexto privado da sessão e incorporá-lo a uma URL que ele é orientado a abrir para “buscar contexto adicional”.
Um elemento da cadeia faz o modelo construir uma “chave de descriptografia” adicional que, na verdade, não é material de chave, mas uma string de template que intercala nome, localização, nível da assinatura e histórico de conversas. O Grok então aciona sua própria ferramenta de navegação para carregar essa URL, levando os dados nos parâmetros da query da requisição.
Utevsky disse que os prompts obtidos no cenário testado se limitaram à conversa em andamento e que tudo o que foi extraído já estava no contexto do modelo. O alcance do agente, afirmou ele, se estende a “tudo o que estiver em contexto ou puder ser buscado com suas ferramentas”, e a empresa não testou se ele poderia acessar outros chats, a memória do agente ou outros conteúdos.
“O arcabouço criado pela xAI permite que instruções e dados analisados de uma página externa não confiável conduzam a invocação de uma ferramenta privilegiada, conectada à internet. Ele permite que metadados privados da sessão e o histórico de conversas sejam transformados nos insumos dessa ferramenta de saída. E não impõe nenhuma barreira efetiva de saída nem etapa de consentimento nesse caminho, além de nenhuma separação de procedência que pudéssemos observar. As instruções lavadas e controladas pelo atacante chegam a uma ação privilegiada de saída sem impedimento”, afirmou a Adversa.
A empresa disse ter reportado o problema à xAI em 3 de junho de 2026 e ao programa de bug bounty da HackerOne da xAI na mesma data. Segundo a Adversa, a xAI confirmou o recebimento do relatório, mas sem fornecer detalhes nem prazo de mitigação, e novas tentativas de contato em 4 e 10 de agosto não tiveram resposta.
A Adversa é a única fonte do achado sobre o Grok, disse estar retendo os payloads operacionais para evitar exploração, e a xAI não publicou até 20 de agosto de 2026 nenhuma declaração ou aviso sobre a pesquisa.
Uma segunda demonstração no mesmo relatório mira o Gemini, do Google, no modo Deep Thinking, em que um único prompt faz o modelo descriptografar um payload que se transforma em um traceback falso de Python, com uma callback espúria de desativação de política de segurança e um prefixo de raciocínio em primeira pessoa que o pré-compromete com a saída restrita.
A Adversa afirmou que a técnica produziu conteúdo restrito e reproduziu as instruções de sistema do Gemini, que identificou como Gemini 3 Flash (Web) no plano pago. O Google não foi notificado, disse a empresa, porque jailbreaks estão fora do escopo de seu programa de divulgação, e a taxa de sucesso contra os agentes da companhia havia “caído significativamente em agosto”, sem que a causa fosse atribuída entre atualizações de filtros e mudanças de versão do modelo.
A demonstração do Gemini foi publicada, em grande parte, na mesma forma cinco meses antes. Utevsky descreveu a mesma cadeia em seu site pessoal de pesquisa em 11 de março de 2026, sob o nome Cryptographic Payload Injection, relatando cinco reproduções independentes em cinco tentativas e resultados entre modelos nos quais o GPT-5, da OpenAI, falhou ao interpretar as instruções de descriptografia, enquanto o Claude Sonnet 4.5, da Anthropic, sinalizou o payload como prompt injection depois de descriptografá-lo.
“A parte da pesquisa relacionada ao Gemini foi conduzida em março e não sofreu mudanças substanciais. Agora, estamos adicionando uma generalização da técnica e sua aplicação ao Grok”, disse Utevsky, segundo o The Hacker News.
“Você não precisa corrigir isso no nível do modelo. Todo controle que limita esse ataque está no harness em torno do agente: sob qual identidade ele é executado, a que ele pode acessar, o que ele pode gravar e o que pode ser reproduzido depois”, afirmou a Adversa.
As equipes que operam agentes são aconselhadas a adotar as seguintes medidas:
- Quarentenar conteúdo não confiável em um contexto sem ferramentas e sem credenciais, retornando ao contexto privilegiado apenas dados estruturados.
- Controlar ações irreversíveis e de saída, confirmando novos destinos de rede, envios, merges, publicações e gravações fora do espaço de trabalho com argumentos totalmente resolvidos, e aplicar bloqueio rígido quando não houver presença humana.
- Capturar trilhas de uso de ferramentas por sessão com argumentos resolvidos, sem as quais não há detecção nem perícia forense.
- Emitir alertas com base na sequência, e não em um único payload, tratando um bloco opaco acompanhado de instruções para descriptografá-lo como sinal de revisão, nunca como filtro de bloqueio.
- Tornar a procedência do contexto um requisito de aquisição e perguntar aos fornecedores se a saída das ferramentas é separada do canal de instrução.
O desenvolvimento ocorre enquanto Alexander Panfilov e sete coautores relataram, em um preprint publicado em 10 de agosto de 2026, que os blocos de raciocínio criptografados que Anthropic, OpenAI e Google retornam a clientes de API são intercambiáveis entre sessões, usuários e modelos dentro do ecossistema de um fornecedor, e que atacantes podem usar a falha para “executar prompt injections invisíveis, incorporando payloads maliciosos inteiramente dentro de blocos criptografados para envenenar implantações públicas de agentes”.
Separadamente, pesquisadores da UC Berkeley, da Ethereum Foundation e da NYU Shanghai concluíram, em trabalho apresentado no USENIX Security 2026, que um ataque em duas etapas em que o modelo decodifica uma cifra de substituição e depois é solicitado a agir sobre o texto decodificado teve sucesso contra o Grok 3 em todos os 12 intentos maliciosos testados, enquanto a mesma cifra, usada sem essa segunda etapa de ativação, falhou em todos os 12 casos.
O tratamento da xAI às denúncias de prompt injection contra o Grok já havia sido criticado antes. Em dezembro de 2024, Johann Rehberger demonstrou uma cadeia completa de exfiltração de dados contra o Grok no app iOS do X, na qual uma prompt injection indireta fez o assistente enviar informações de chats anteriores para um servidor de terceiros, e disse que todos os problemas que reportou foram encerrados como “Informational”.
“A xAI afirma que não há impacto prático com a vulnerabilidade relatada. Não tenho certeza de como vazar mensagens de chat e endereço IP do usuário não é uma vulnerabilidade; a questão é mais sobre gravidade”, disse Rehberger.
Atualizado em 20 de agosto de 2026 com respostas da Adversa AI sobre a build testada, a taxa de sucesso e o escopo dos dados extraídos.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...