Cryptographic Context Injection: la técnica que vacía el historial de Grok sin clics

La scoperta e i sistemi presi di mira

El 23 de agosto de 2026, Adversa AI publicó una investigación sobre una nueva técnica de ataque contra sistemas de inteligencia artificial agénticos. Denominada Cryptographic Context Injection, la técnica oculta instrucciones maliciosas dentro de texto cifrado con AES-256-GCM. Los modelos objetivo, xAI Grok y Google Gemini, fueron comprometidos en las pruebas realizadas por el investigador Rony Utevsky. No se indicaron las versiones específicas de los productos, pero el ataque se demostró en sistemas en producción.

El ataque funciona porque los guardrails estáticos, que deberían bloquear los prompts peligrosos, no ejecutan el texto que reciben. Solo ven una cadena cifrada, sin significado aparente. Sin embargo, cuando el modelo ejecuta el descifrado en su propio sandbox de ejecución, las instrucciones del atacante emergen como salida de código recién ejecutado. En ese momento se tratan como contexto confiable, no como contenido externo no confiable.

En el caso de Grok, el efecto fue el robo sin clics de datos personales y de todo el historial de chat. En el caso de Gemini, la misma lógica permitió eludir las políticas de seguridad y obtener instrucciones detalladas para construir un artefacto incendiario.

Grok: un resumen de página web que vacía el historial

El ataque a Grok se describió como el más grave de los dos. Un usuario pide al modelo que resuma una página web. La página contiene un payload cifrado y las instrucciones para descifrarlo. Grok visita la página, ejecuta el descifrado en el sandbox de Python y sigue las instrucciones ocultas. Estas instrucciones piden al modelo que cree una "clave de descifrado" que en realidad es una plantilla que contiene los datos privados del usuario: nombre, ubicación, plan de suscripción y todo el historial de chat.

El modelo inserta luego estos datos como parámetros de URL hacia un dominio controlado por el atacante, con la excusa de recuperar contexto adicional. La exfiltración se produce como parte de una solicitud web aparentemente normal. Sin clics, sin avisos.

El 19 de agosto de 2026, el ataque seguía siendo reproducible. La notificación a xAI data del 3 de junio de 2026, pero la empresa solo proporcionó una respuesta inicial y no volvió a responder. Hasta que se publique una corrección, es prudente evitar pedir a Grok que analice o resuma páginas web no confiables.

Gemini: jailbreak e instrucciones de sistema expuestas

En el caso de Gemini, el ataque utiliza un script Python de descifrado que devuelve un mensaje de error falso que contiene instrucciones ocultas. La salida del sandbox se trata como contexto confiable y se utiliza para hacer que Gemini genere instrucciones detalladas para un dispositivo incendiario. Una variante también expuso las instrucciones de sistema del modelo.

A diferencia de Grok, la notificación a Google no se realizó formalmente porque el programa de recompensas por errores de Google excluye los jailbreaks. Adversa AI señala, no obstante, una clara disminución de la tasa de vulnerabilidad de Gemini desde junio, lo que sugiere que Google ya ha adoptado contramedidas.

Por qué los filtros no ven el payload: el papel del runtime

Las técnicas anteriores, como CipherChat y CodeChameleon, usaban cifrados por sustitución, XOR o base64, decodificables por el modelo de forma nativa sin intérprete. AES-256-GCM no puede decodificarse de esa manera: requiere la ejecución en el runtime. Para recuperar el texto plano habría que ejecutar PBKDF2 y AES-256-GCM, operaciones que ningún clasificador de contenido ejecuta en el momento de la inspección.

Cuando el runtime descifra el payload, las instrucciones del atacante aparecen como salida de código recién ejecutado por el modelo, no como contenido externo no confiable. La ejecución en el runtime "recicla" datos controlados por el atacante en instrucciones consideradas confiables. El payload cifrado adquiere así una credibilidad que el mismo texto no tendría si se pegara directamente en el prompt.

El esquema funciona tanto para inyección directa como indirecta, por ejemplo a través del canal de navegación.

El problema está en el harness agéntico, no en el modelo

Según Adversa AI, no se necesita una corrección a nivel de modelo: todos los controles residen en el harness que rodea al agente. El problema es estructural y se atribuye al framework agéntico de Grok. El framework permite que instrucciones procedentes de una página externa no confiable controlen la invocación de una herramienta privilegiada conectada a internet. Resuelve metadatos privados de sesión e historial en las llamadas salientes y no aplica un control de egreso ni un consentimiento explícito. Adversa compara el problema con la inyección SQL: el sistema no distingue su propio estado confiable de los datos proporcionados por el atacante que fluyen por el mismo canal.

El riesgo es transversal. La técnica no depende del modelo, sino del harness/agente, por lo que es potencialmente aplicable a otros sistemas agénticos con sandbox de ejecución y herramientas conectadas.

Las mitigaciones recomendadas por Adversa AI incluyen:

• procesar el contenido no confiable en un contexto sin herramientas y sin credenciales, devolviendo al contexto privilegiado solo datos estructurados;
• exigir confirmación explícita para las llamadas de red salientes y las escrituras fuera del área de trabajo, con argumentos completamente resueltos y visibles antes de la aprobación;
• registrar trazas por sesión de las herramientas con argumentos resueltos, para permitir análisis forense y detección;
• basar la detección en secuencias, no en payloads individuales: la señal es la cadena "contenido no confiable entra en el contexto, se ejecuta el código, el agente contacta con un host fuera de su grafo de dependencias normal", no el blob cifrado individual.