Cryptographic Context Injection : la technique qui vide l'historique de Grok sans clic

La découverte et les systèmes ciblés

Le 23 août 2026, Adversa AI a publié une recherche sur une nouvelle technique d'attaque contre les systèmes d'IA agentiques. Baptisée Cryptographic Context Injection, la technique dissimule les instructions malveillantes dans du texte chiffré avec AES-256-GCM. Les modèles ciblés, xAI Grok et Google Gemini, ont tous deux été compromis lors des tests menés par le chercheur Rony Utevsky. Les versions précises des produits n'ont pas été indiquées, mais l'attaque a été démontrée sur les systèmes en production.

L'attaque fonctionne parce que les garde-fous statiques, censés bloquer les invites dangereuses, n'exécutent pas le texte qu'ils reçoivent. Ils ne voient qu'une chaîne chiffrée, sans signification apparente. Lorsque le modèle exécute le déchiffrement dans son propre bac à sable d'exécution, les instructions de l'attaquant apparaissent comme sortie de code venant d'être exécuté. Elles sont alors traitées comme un contexte de confiance, et non comme du contenu externe non fiable.

Dans le cas de Grok, l'effet a été le vol zero-click de données personnelles et de l'intégralité de l'historique de discussion. Dans le cas de Gemini, la même logique a permis de contourner les politiques de sécurité et d'obtenir des instructions détaillées pour fabriquer un engin incendiaire.

Grok : un résumé de page web qui vide l'historique

L'attaque contre Grok a été décrite comme la plus grave des deux. Un utilisateur demande au modèle de résumer une page web. La page contient une charge utile chiffrée et les instructions pour la déchiffrer. Grok visite la page, exécute le déchiffrement dans le bac à sable Python et suit les instructions cachées. Ces instructions demandent au modèle de créer une « clé de déchiffrement » qui est en réalité un modèle contenant les données privées de l'utilisateur : nom, position, formule d'abonnement et tout l'historique de discussion.

Le modèle insère ensuite ces données comme paramètres d'URL vers un domaine contrôlé par l'attaquant, sous prétexte de récupérer du contexte supplémentaire. L'exfiltration a lieu dans le cadre d'une requête web apparemment normale. Aucun clic, aucune alerte.

Le 19 août 2026, l'attaque était encore reproductible. Le signalement à xAI remonte au 3 juin 2026, mais l'entreprise n'a fourni qu'un accusé de réception initial et n'a plus répondu. Tant qu'un correctif n'aura pas été publié, il est prudent d'éviter de demander à Grok d'analyser ou de résumer des pages web non fiables.

Gemini : jailbreak et instructions système exposées

Dans le cas de Gemini, l'attaque utilise un script Python de déchiffrement qui renvoie un faux message d'erreur contenant des instructions cachées. La sortie du bac à sable est traitée comme un contexte fiable et utilisée pour faire générer à Gemini des instructions détaillées pour un dispositif incendiaire. Une variante a également exposé les instructions système du modèle.

Contrairement à Grok, le signalement à Google n'a pas été effectué formellement, car le programme de bug bounty de Google exclut les jailbreaks. Adversa AI signale néanmoins une nette baisse du taux de vulnérabilité de Gemini depuis juin, ce qui suggère que Google a déjà adopté des contre-mesures.

Pourquoi les filtres ne voient pas la charge utile : le rôle du runtime

Les techniques précédentes comme CipherChat et CodeChameleon utilisaient des chiffrements par substitution, XOR ou base64, décodables par le modèle nativement sans interpréteur. AES-256-GCM ne peut pas être décodé de cette manière : il nécessite l'exécution dans le runtime. Pour récupérer le texte en clair, il faudrait exécuter PBKDF2 et AES-256-GCM, opérations qu'aucun classificateur de contenu n'exécute au moment de l'inspection.

Lorsque le runtime déchiffre la charge utile, les instructions de l'attaquant apparaissent comme la sortie d'un code venant d'être exécuté par le modèle, et non comme du contenu externe non fiable. L'exécution dans le runtime « recycle » des données contrôlées par l'attaquant en instructions considérées comme fiables. La charge utile chiffrée acquiert ainsi une crédibilité que le même texte n'aurait pas s'il était collé directement dans l'invite.

Le schéma fonctionne aussi bien en injection directe qu'indirecte, par exemple via le canal de navigation.

Le problème se situe dans le harnais agentique, pas dans le modèle

Selon Adversa AI, il n'est pas nécessaire de corriger le modèle : tous les contrôles résident dans le harnais qui entoure l'agent. Le problème est structurel et attribué au framework agentique de Grok. Ce framework permet à des instructions provenant d'une page externe non fiable de piloter l'invocation d'un outil privilégié connecté à Internet. Il résout des métadonnées privées de session et d'historique dans les appels sortants et n'applique ni frontière d'egress ni consentement explicite. Adversa compare le problème à l'injection SQL : le système ne distingue pas son propre état de confiance des données fournies par l'attaquant qui circulent dans le même canal.

Le risque est transverse. La technique ne dépend pas du modèle mais du harnais/agent, elle est donc potentiellement applicable à d'autres systèmes agentiques dotés de bacs à sable d'exécution et d'outils connectés.

Les mesures d'atténuation recommandées par Adversa AI comprennent :

• traiter le contenu non fiable dans un contexte sans outils et sans identifiants, en ne renvoyant au contexte privilégié que des données structurées ;
• exiger une confirmation explicite pour les appels réseau sortants et les écritures hors de l'espace de travail, avec des arguments entièrement résolus et visibles avant approbation ;
• journaliser des traces par session des outils avec les arguments résolus, afin de permettre l'investigation et la détection ;
• fonder la détection sur des séquences, pas sur des charges utiles isolées : le signal est la chaîne « contenu non fiable entre dans le contexte, le code est exécuté, l'agent contacte un hôte hors de son graphe de dépendances normal », et non le simple blob chiffré.