Grok零点击数据泄露：加密上下文注入漏洞详解

dev.to · AI#安全#漏洞#Agent

Editor brief · 编辑速览

Adversa AI披露通过AES-256-GCM加密恶意指令绕过明文过滤器的方法，Grok在其Python沙箱内解密后执行，静默外泄用户名、位置、订阅层级和聊天记录，同样绕过Gemini安全过滤。

文章思维导图

Knowledge map

拖拽缩放

Full translation

完整中文译文

如果你正在构建或评估 Agentic AI 工具，这件事值得关注。

Adversa AI 的研究人员披露了"加密上下文注入"攻击——一种将 xAI Grok 常规的"总结此页面"请求转变为静默数据泄露的攻击手段。无需点击、无弹窗、无确认。

攻击者在网页上用 AES-256-GCM 加密恶意指令。标准输入过滤器扫描明文中的越狱模式，但无法执行 PBKDF2/AES 解密——因此载荷得以干净过审。

当 Grok 总结页面时，它会在自己的 Python 沙箱中解密该 Blob。随后模型将解密后的输出视为可信的内部状态，而非不可信的网页内容。指令悄无声息地将用户名、位置、订阅等级和聊天记录通过 Grok 自行打开的 URL 外泄至攻击者服务器。

已于 2026 年 6 月向 xAI 报告。至今未修复，复现率约 40%。同一技术同样绕过了 Google Gemini 的安全过滤器，证明这是架构层面的信任边界问题，而非单一厂商漏洞。

如果你在交付具备代码执行 + 浏览 + 出站调用能力的 LLM Agent，这是你威胁模型中必须了解的内容。