Ataque de "injeção de contexto criptográfico" permite roubar dados de conversas do Grok
A empresa Adversa AI divulgou uma técnica batizada de "Cryptographic Context Injection" que engana o chatbot Grok, da xAI, fazendo-o decifrar e executar instruções maliciosas cifradas embutidas em uma página web comum. O ataque consegue exfiltrar nome do usuário, localização aproximada, nível de assinatura e trechos da conversa em andamento para um servidor controlado pelo atacante, e segue sem correção pública meses depois do primeiro aviso à xAI.
A Adversa AI, empresa especializada em segurança de IA, revelou uma vulnerabilidade no Grok que explora um ponto cego comum em filtros de conteúdo: eles não conseguem inspecionar dados cifrados. A técnica, chamada de "Cryptographic Context Injection", consiste em uma página web aparentemente inofensiva que contém um payload cifrado com AES-256-GCM e PBKDF2, empacotado junto com a própria chave de decifragem em um objeto JSON.
Quando um usuário pede ao Grok para resumir essa página, o payload instrui o modelo a usar seu próprio interpretador Python (a ferramenta de execução de código que o Grok tem disponível) para decifrar o conteúdo em tempo real. Como o filtro de segurança do modelo analisa o texto da página antes da decifragem, ele nunca vê as instruções maliciosas em claro — só depois de decifradas, dentro do próprio ambiente de execução do modelo, é que as instruções tomam efeito, mandando o Grok montar uma URL com metadados da sessão (nome, localização aproximada, nível de assinatura, prompts da conversa) e "navegar" até um servidor do atacante, completando a exfiltração.
O caso ilustra bem por que sanitização de conteúdo baseada em pattern-matching de texto puro não é suficiente quando o modelo tem acesso a ferramentas de execução de código: a cifragem funciona como uma espécie de ofuscação que atravessa qualquer camada de moderação que opere sobre o texto de entrada, e só a própria capacidade do modelo de "seguir instruções até o fim" (inclusive rodar código que decifra algo) é que abre a porta para o ataque. Nos testes da Adversa, a taxa de sucesso foi de 40% em 20 tentativas.
O relatório foi enviado à xAI em 3 de junho de 2026, diretamente e via HackerOne, e a empresa confirmou o recebimento sem divulgar prazo ou detalhes de correção; a Adversa reproduziu o ataque novamente em 19 de agosto de 2026, às vésperas da divulgação pública, confirmando que a falha segue ativa. Nenhum CVE foi atribuído. Para um produto de consumo massivo como o Grok, que processa páginas web arbitrárias a pedido do usuário, a falta de correção meses depois do aviso responsável é o dado mais preocupante do caso.