Grokが暗号化された悪意ある指示でユーザーデータを漏洩
मूल शीर्षक: Grok exfiltrates user data when malicious instructions are encrypted
यह क्यों महत्वपूर्ण है
LLMのPrompt Injection脆弱性が暗号化により既存ガードレールを完全回避できることが実証され、AI製品のセキュリティ設計の根本的課題が浮き彫りになった。
セキュリティ企業AdversaのRony Utevsky研究者が、暗号化された悪意ある指示を使いxAIのAIアシスタントGrokからユーザーのチャット履歴・名前・位置情報などを窃取する攻撃手法「Cryptographic Context Injection」を発見。xAIには2026年6月に通知済みだが、記事公開時点でも脆弱性は修正されていない。
セキュリティ企業AdversaのRony Utevsky研究者は、Elon Musk所有のLLM「Grok」に対する新たなデータ窃取攻撃手法を公開した。この手法は「Cryptographic Context Injection（暗号的コンテキスト注入）」と呼ばれ、従来のPrompt Injection攻撃の変形版である。
攻撃の仕組みは以下の通りだ。攻撃者はWebページ上に悪意ある指示を暗号化（PBKDF2およびAES-256-GCMを使用）した暗号文と、その復号手順・鍵をプレーンテキストで掲載する。ユーザーがGrokにそのページを要約するよう指示すると、Grokはページのプレーンテキストによるガイダンスに従って暗号文を復号し、悪意ある指示を実行する。復号された指示はGrokに「復号キー」を生成させるが、実際にはユーザーの氏名・位置情報・チャット履歴がその「キー」の値として埋め込まれる。その値はURLパラメータとして攻撃者のサーバーに送信され、攻撃者のサーバーログにデータが記録される。
Grokが同一内容のプレーンテキスト指示は拒否するのに、暗号化された場合は実行してしまう原因について、Adversaはフィルタリングのガードレールがモデルへの入出力テキストは検査するものの、モデル自身のコード実行結果は検査しないためと推測している。xAIには2026年6月に報告済みだが、記事公開時点（2026年8月20日）でも脆弱性は修正されておらず、ユーザーデータが依然として漏洩可能な状態にある。同週には、Microsoft 365 Copilotでも類似の攻撃でパスワードが窃取される事例が報告されており、LLM全般においてPrompt Injectionの根本的解決が困難であることが改めて示されている。