Grok Prompt Injection: Wie verschlüsselte Befehle Daten abziehen

Adversa AI beschreibt eine indirekte Prompt Injection gegen Grok 4.5 Fast. Eine präparierte Webseite enthält verschlüsselte Anweisungen samt Schlüsselmaterial. Grok soll diese Daten in seiner Python Laufzeit entschlüsselt, den Klartext als vertrauenswürdiges Ergebnis behandelt und anschließend Sitzungsdaten über einen URL Aufruf an einen fremden Server übertragen haben.

Der Bericht nennt den 19. August 2026 als letzten erfolgreichen Reproduktionstag. Eine CVE, ein öffentlich bestätigter Patch oder Hinweise auf aktive Ausnutzung fehlen. Die technische Demonstration stammt vom meldenden Forschungsteam. xAI hatte zum Zeitpunkt der Veröffentlichung keine eigene technische Stellungnahme publiziert.

Die Angriffskette in fünf Schritten

1. Ein Benutzer bittet Grok, eine fremde Webseite zusammenzufassen oder auszuwerten.
2. Die Seite liefert einen mit AES 256 GCM verschlüsselten Anweisungsblock, Schlüsselmaterial und den Auftrag zur Entschlüsselung.
3. Statische Inhaltsfilter sehen nur den verschlüsselten Text. Die eigentliche Anweisung entsteht erst in der Code Laufzeit.
4. Das Modell behandelt den entschlüsselten Laufzeit Output laut Adversa als vertrauenswürdigen Kontext.
5. Die Anweisung lässt Grok private Sitzungswerte in eine URL einsetzen und diese über das Navigationswerkzeug aufrufen.

Der entscheidende Punkt ist nicht die Verschlüsselung allein. Der Datenabfluss entsteht erst, weil untrusted Webinhalt Codeausführung auslösen, auf Sitzungsdaten zugreifen und einen ausgehenden Netzwerkaufruf steuern kann. Drei Berechtigungen werden dadurch ohne wirksame Herkunftstrennung verkettet.

Welche Daten im Versuch betroffen waren

Nach Angaben von Adversa und The Hacker News umfasste der demonstrierte Abfluss den Namen des Benutzers, den ungefähren Standort, die Abonnementstufe und Prompts aus der laufenden Unterhaltung. Andere Chats, dauerhafte Erinnerungen oder zusätzliche Kontodaten wurden laut Bericht nicht getestet.

Die Formulierung „gesamte Chat Historie“ wäre deshalb zu weit. Belegt ist nach der veröffentlichten Beschreibung nur der Kontext, den das Modell in der getesteten laufenden Sitzung bereits erreichen konnte.

Was gesichert und was offen ist

1. Gesichert laut Forschungsteam: Der Angriff wurde gegen Grok Web Chat mit Grok 4.5 Fast demonstriert.
2. Gesichert laut The Hacker News: Adversa nannte 20 Versuche seit Juni mit einer Erfolgsquote von 40 Prozent.
3. Offen: Eine unabhängige technische Reproduktion mit dem zurückgehaltenen operativen Payload ist nicht öffentlich verfügbar.
4. Offen: xAI hat keine öffentliche Behebung oder Mitigation bestätigt.
5. Nicht gemeldet: Es gibt keine Hinweise auf Ausnutzung in freier Wildbahn.
6. Nicht vorhanden: Für den Bericht existiert keine CVE.

Welche KI Architekturen dieses Risiko tragen

Relevant sind Assistenten und Agenten, die fremde Webseiten oder Dokumente lesen und gleichzeitig privilegierte Werkzeuge verwenden dürfen. Das Risiko steigt deutlich, wenn dieselbe Sitzung zusätzlich vertrauliche Daten, Codeausführung, interne Konnektoren oder uneingeschränkte ausgehende Netzwerkverbindungen besitzt.

1. KI Assistent liest nicht vertrauenswürdige Webinhalte.
2. Dieselbe Sitzung besitzt Zugriff auf interne Dateien, Chats oder Kontodaten.
3. Eine Code Laufzeit kann Inhalte entschlüsseln oder umformen.
4. Werkzeuge dürfen neue externe Ziele ohne Bestätigung aufrufen.
5. Tool Ergebnisse werden nicht mit ihrer Herkunft gekennzeichnet.
6. Aufgelöste Werkzeugargumente werden nicht protokolliert.

Ein normaler Chat ohne Webzugriff, Code Laufzeit und externe Werkzeuge bildet die beschriebene Angriffskette nicht vollständig ab. Trotzdem bleibt direkte Prompt Injection ein separates Risiko.

Erste Prüfung im Unternehmen

1. Listen Sie alle freigegebenen KI Systeme samt Modell, Tarif und Benutzergruppe auf.
2. Dokumentieren Sie pro System Webzugriff, Dateizugriff, Codeausführung, Konnektoren und mögliche ausgehende Ziele.
3. Prüfen Sie, welche vertraulichen Informationen während einer Sitzung im Modellkontext liegen.
4. Ermitteln Sie, welche Werkzeugaktionen ohne sichtbare Benutzerbestätigung ausgeführt werden.
5. Prüfen Sie, ob Protokolle die endgültig aufgelöste Ziel URL und die übertragenen Parameter enthalten.

Für Grok Benutzer ist besonders relevant, ob Websuche oder Webseitenanalyse in Sitzungen mit vertraulichen Gesprächsinhalten genutzt wird. Bis zu einer belastbaren Herstellerklärung sollten solche Inhalte und fremde Webseiten nicht in derselben privilegierten Sitzung zusammengeführt werden.

Schutzmaßnahmen gegen die beschriebene Kette

Nicht vertrauenswürdige Inhalte isolieren

Webseiten und fremde Dokumente sollten in einem Kontext ohne Zugangsdaten und ohne privilegierte Werkzeuge verarbeitet werden. Der privilegierte Agent erhält anschließend nur strukturierte Daten mit klarer Herkunft, nicht den ungefilterten Seiteninhalt.

Ausgehende Aktionen bestätigen

Neue Netzwerkziele, Dateiübertragungen, Veröffentlichungen und andere irreversible Aktionen benötigen eine Bestätigung mit vollständig aufgelösten Argumenten. Eine Vorlage mit Platzhaltern reicht nicht, weil vertrauliche Werte erst unmittelbar vor dem Aufruf eingesetzt werden können.

Rechte und Sitzungsdaten minimieren

Der Agent sollte nur auf Daten und Werkzeuge zugreifen können, die für die aktuelle Aufgabe erforderlich sind. Privilegierte Browserprofile, breit berechtigte Konnektoren und unnötig lange Gesprächskontexte vergrößern den möglichen Schaden.

Werkzeugketten protokollieren

Erfassen Sie pro Sitzung Werkzeugname, Herkunft der Argumente, endgültige Zieladresse, Zeitpunkt und Ergebnis. Warnungen sollten auf verdächtige Abfolgen reagieren, etwa verschlüsselter Inhalt, Entschlüsselung in der Code Laufzeit und anschließender Aufruf eines neuen externen Ziels.

Warum ein Inhaltsfilter allein nicht reicht

Ein Filter vor dem Modell kann den Klartext eines stark verschlüsselten Payloads nicht prüfen, ohne die mitgelieferte Entschlüsselung tatsächlich auszuführen. Selbst ein besserer Filter löst zudem nicht das Grundproblem zu weitreichender Werkzeuge. Die wirksamsten Grenzen liegen deshalb in der Agent Laufzeit: Herkunft erhalten, Rechte begrenzen, externe Aktionen bestätigen und Werkzeugketten nachvollziehbar protokollieren.

Passende Artikel auf S-EDV

1. OpenAI pausiert Training für zusätzliche KI Sicherheitsprüfungen
2. CoSnitch: Prompt Injection in Microsoft Copilot einordnen

Quellen

1. Adversa AI: Cryptographic Context Injection
2. The Hacker News: Technische Einordnung und Rückfragen an Adversa
3. The New Stack: Einordnung der verschlüsselten Prompt Injection