Cryptographic Context Injection: la tecnica che svuota la cronologia di Grok senza clic

La scoperta e i sistemi presi di mira

Il 23 agosto 2026, Adversa AI ha pubblicato una ricerca su una nuova tecnica di attacco ai sistemi di intelligenza artificiale agentici. Chiamata Cryptographic Context Injection, la tecnica nasconde le istruzioni malevole dentro testo cifrato con AES-256-GCM. I modelli bersaglio, xAI Grok e Google Gemini, sono stati entrambi compromessi nei test condotti dal ricercatore Rony Utevsky. Le versioni specifiche dei prodotti non sono state indicate, ma l'attacco è stato dimostrato sui sistemi in produzione.

L'attacco funziona perché i guardrail statici, che dovrebbero bloccare i prompt pericolosi, non eseguono il testo che ricevono. Vedono solo una stringa cifrata, senza significato apparente. Quando il modello esegue la decifratura nel proprio sandbox di esecuzione, però, le istruzioni dell'attaccante emergono come output di codice appena eseguito. A quel punto vengono trattate come contesto fidato, non come contenuto esterno non attendibile.

Nel caso di Grok, l'effetto è stato il furto zero-click di dati personali e dell'intera cronologia chat. Nel caso di Gemini, la stessa logica ha permesso di aggirare le policy di sicurezza e ottenere istruzioni dettagliate per costruire un ordigno incendiario.

Grok: un riepilogo di pagina web che svuota la cronologia

L'attacco a Grok è stato descritto come il più grave dei due. Un utente chiede al modello di riepilogare una pagina web. La pagina contiene un payload cifrato e le istruzioni per decifrarlo. Grok visita la pagina, esegue la decifratura nel sandbox Python e segue le istruzioni nascoste. Queste istruzioni invitano il modello a creare una "chiave di decrittazione" che in realtà è un template contenente i dati privati dell'utente: nome, posizione, piano di abbonamento e intera cronologia chat.

Il modello inserisce poi questi dati come parametri URL verso un dominio controllato dall'attaccante, con la scusa di recuperare contesto aggiuntivo. L'esfiltrazione avviene come parte di una richiesta web apparentemente normale. Nessun clic, nessun avviso.

Il 19 agosto 2026, l'attacco era ancora riproducibile. La segnalazione a xAI risale al 3 giugno 2026, ma l'azienda ha fornito solo un riscontro iniziale e non ha più risposto. Fino a quando non verrà rilasciata una correzione, è prudente evitare di chiedere a Grok di analizzare o riepilogare pagine web non fidate.

Gemini: jailbreak e istruzioni di sistema esposte

Nel caso di Gemini, l'attacco usa uno script Python di decifratura che restituisce un finto messaggio di errore contenente istruzioni nascoste. L'output della sandbox viene trattato come contesto affidabile e usato per far generare a Gemini istruzioni dettagliate per un dispositivo incendiario. Una variante ha anche esposto le istruzioni di sistema del modello.

A differenza di Grok, la segnalazione a Google non è stata effettuata formalmente perché il bug bounty di Google esclude i jailbreak. Adversa AI segnala comunque un netto calo del tasso di vulnerabilità di Gemini da giugno, suggerendo che Google abbia già adottato contromisure.

Perché i filtri non vedono il payload: il ruolo del runtime

Le tecniche precedenti come CipherChat e CodeChameleon usavano cifrari a sostituzione, XOR o base64, decodificabili dal modello nativamente senza interprete. AES-256-GCM non può essere decodificato in quel modo: richiede l'esecuzione nel runtime. Per recuperare il plaintext servirebbe eseguire PBKDF2 e AES-256-GCM, operazioni che nessun classificatore di contenuti esegue al momento dell'ispezione.

Quando il runtime decifra il payload, le istruzioni dell'attaccante appaiono come output di codice appena eseguito dal modello, non come contenuto esterno non attendibile. L'esecuzione nel runtime "ricicla" dati controllati dall'attaccante in istruzioni considerate fidate. Il payload cifrato acquisisce così una credibilità che lo stesso testo non avrebbe se incollato direttamente nel prompt.

Lo schema funziona sia per iniezione diretta sia indiretta, per esempio attraverso il canale di navigazione.

Il problema è nell'harness agentico, non nel modello

Secondo Adversa AI, non serve una correzione a livello di modello: tutti i controlli risiedono nell'harness attorno all'agente. Il problema è strutturale e attribuito al framework agentico di Grok. Il framework permette a istruzioni provenienti da una pagina esterna non fidata di pilotare l'invocazione di uno strumento privilegiato connesso a internet. Risolve metadati privati di sessione e cronologia nelle chiamate in uscita e non applica un confine di egress o un consenso esplicito. Adversa paragona il problema a SQL injection: il sistema non distingue il proprio stato fidato dai dati forniti dall'attaccante che fluiscono nello stesso canale.

Il rischio è trasversale. La tecnica non dipende dal modello ma dall'harness/agente, quindi è potenzialmente applicabile ad altri sistemi agentici con sandbox di esecuzione e strumenti connessi.

Le mitigazioni consigliate da Adversa AI includono:

• processare il contenuto non attendibile in un contesto senza strumenti e senza credenziali, restituendo al contesto privilegiato solo dati strutturati;
• richiedere conferma esplicita per le chiamate di rete in uscita e le scritture fuori dall'area di lavoro, con argomenti completamente risolti e visibili prima dell'approvazione;
• registrare tracce per-sessione degli strumenti con argomenti risolti, per consentire forensic e rilevamento;
• basare la detection su sequenze, non su singoli payload: il segnale è la catena "contenuto non attendibile entra nel contesto, il codice viene eseguito, l'agente contatta un host fuori dal proprio grafo di dipendenze normale", non il singolo blob cifrato.