Cryptographic Context Injection: Die Technik, die den Chatverlauf von Grok ohne Klick leert

Die Entdeckung und die betroffenen Systeme

Am 23. August 2026 veröffentlichte Adversa AI eine Untersuchung zu einer neuen Angriffstechnik auf agentische KI-Systeme. Die als Cryptographic Context Injection bezeichnete Technik versteckt bösartige Anweisungen in mit AES-256-GCM verschlüsseltem Text. Die Zielmodelle xAI Grok und Google Gemini wurden beide in den vom Forscher Rony Utevsky durchgeführten Tests kompromittiert. Die spezifischen Produktversionen wurden nicht angegeben, aber der Angriff wurde auf Produktionssystemen demonstriert.

Der Angriff funktioniert, weil statische Guardrails den empfangenen Text nicht ausführen. Sie sehen nur eine verschlüsselte Zeichenfolge ohne erkennbare Bedeutung. Wenn das Modell die Entschlüsselung in seiner eigenen Ausführungssandbox durchführt, erscheinen die Anweisungen des Angreifers jedoch als Ausgabe des gerade ausgeführten Codes. Zu diesem Zeitpunkt werden sie als vertrauenswürdiger Kontext behandelt und nicht als nicht vertrauenswürdiger externer Inhalt.

Im Fall von Grok bestand der Effekt im Zero-Click-Diebstahl persönlicher Daten und des gesamten Chatverlaufs. Im Fall von Gemini ermöglichte dieselbe Logik die Umgehung von Sicherheitsrichtlinien, um detaillierte Anweisungen zum Bau eines Brandsatzgeräts zu erhalten.

Grok: Eine Webseiten-Zusammenfassung, die den Chatverlauf leert

Der Angriff auf Grok wurde als der schwerwiegendere der beiden beschrieben. Ein Benutzer bittet das Modell, eine Webseite zusammenzufassen. Die Seite enthält eine verschlüsselte Nutzlast und Anweisungen zu deren Entschlüsselung. Grok besucht die Seite, führt die Entschlüsselung in der Python-Sandbox aus und folgt den verborgenen Anweisungen. Diese Anweisungen fordern das Modell auf, einen „Entschlüsselungsschlüssel“ zu erstellen, der in Wirklichkeit eine Vorlage mit den privaten Daten des Benutzers ist: Name, Standort, Abonnementplan und gesamter Chatverlauf.

Das Modell fügt diese Daten dann als URL-Parameter an eine vom Angreifer kontrollierte Domain an, unter dem Vorwand, zusätzlichen Kontext abzurufen. Die Exfiltration erfolgt als Teil einer scheinbar normalen Webanfrage. Kein Klick, keine Warnung.

Am 19. August 2026 war der Angriff noch reproduzierbar. Die Meldung an xAI stammt vom 3. Juni 2026, aber das Unternehmen hat nur eine erste Rückmeldung gegeben und nicht mehr geantwortet. Bis eine Korrektur veröffentlicht wird, ist es ratsam, Grok nicht zu bitten, nicht vertrauenswürdige Webseiten zu analysieren oder zusammenzufassen.

Gemini: Jailbreak und offengelegte Systemanweisungen

Im Fall von Gemini verwendet der Angriff ein Python-Entschlüsselungsskript, das eine gefälschte Fehlermeldung mit verborgenen Anweisungen zurückgibt. Die Ausgabe der Sandbox wird als vertrauenswürdiger Kontext behandelt und genutzt, um Gemini detaillierte Anweisungen für ein Brandsatzgerät generieren zu lassen. Eine Variante legte auch die Systemanweisungen des Modells offen.

Anders als bei Grok wurde die Meldung an Google nicht formell eingereicht, da das Bug-Bounty-Programm von Google Jailbreaks ausschließt. Adversa AI stellt dennoch einen deutlichen Rückgang der Anfälligkeitsrate von Gemini seit Juni fest, was darauf hindeutet, dass Google bereits Gegenmaßnahmen ergriffen hat.

Warum die Filter die Nutzlast nicht sehen: die Rolle des Runtimes

Frühere Techniken wie CipherChat und CodeChameleon verwendeten Substitutions-Chiffren, XOR oder Base64, die vom Modell nativ ohne Interpreter dekodiert werden konnten. AES-256-GCM kann auf diese Weise nicht dekodiert werden: Es erfordert die Ausführung in der Laufzeitumgebung. Um den Klartext wiederherzustellen, müsste man PBKDF2 und AES-256-GCM ausführen – Operationen, die kein Inhaltsklassifizierer zum Zeitpunkt der Prüfung durchführt.

Wenn die Laufzeitumgebung die Nutzlast entschlüsselt, erscheinen die Anweisungen des Angreifers als Ausgabe von Code, den das Modell gerade ausgeführt hat, und nicht als nicht vertrauenswürdiger externer Inhalt. Die Ausführung in der Laufzeitumgebung „recycelt“ vom Angreifer kontrollierte Daten zu Anweisungen, die als vertrauenswürdig gelten. Die verschlüsselte Nutzlast erhält dadurch eine Glaubwürdigkeit, die derselbe Text nicht hätte, wenn er direkt in den Prompt eingefügt würde.

Das Schema funktioniert sowohl bei direkter als auch bei indirekter Injektion, zum Beispiel über den Browsing-Kanal.

Das Problem liegt im Agenten-Harness, nicht im Modell

Laut Adversa AI ist keine Korrektur auf Modellebene erforderlich: Alle Kontrollen befinden sich im Harness um den Agenten herum. Das Problem ist strukturell und wird dem Agenten-Framework von Grok zugeschrieben. Das Framework erlaubt es, dass Anweisungen von einer nicht vertrauenswürdigen externen Seite die Aufrufung eines privilegierten, mit dem Internet verbundenen Tools steuern. Es löst private Sitzungsmetadaten und den Verlauf in ausgehende Aufrufe auf und wendet keine Egress-Grenze oder explizite Zustimmung an. Adversa vergleicht das Problem mit SQL-Injection: Das System unterscheidet nicht zwischen seinem eigenen vertrauenswürdigen Zustand und den vom Angreifer bereitgestellten Daten, die in denselben Kanal fließen.

Das Risiko ist übergreifend. Die Technik hängt nicht vom Modell ab, sondern vom Harness/Agenten und ist daher potenziell auf andere agentische Systeme mit Ausführungssandboxen und verbundenen Tools anwendbar.

Die von Adversa AI empfohlenen Gegenmaßnahmen umfassen:

• nicht vertrauenswürdige Inhalte in einem Kontext ohne Tools und ohne Anmeldeinformationen zu verarbeiten und nur strukturierte Daten an den privilegierten Kontext zurückzugeben;
• eine explizite Bestätigung für ausgehende Netzwerkaufrufe und Schreibvorgänge außerhalb des Arbeitsbereichs zu verlangen, mit vollständig aufgelösten und sichtbaren Argumenten vor der Genehmigung;
• per-Session-Traces der Tools mit aufgelösten Argumenten zu protokollieren, um Forensik und Erkennung zu ermöglichen;
• die Erkennung auf Sequenzen zu stützen, nicht auf einzelne Nutzlasten: Das Signal ist die Kette „nicht vertrauenswürdiger Inhalt gelangt in den Kontext, Code wird ausgeführt, der Agent kontaktiert einen Host außerhalb seines normalen Abhängigkeitsgraphen“, nicht der einzelne verschlüsselte Blob.