一个投毒网页让 Grok 解密隐藏指令并泄露聊天内容

在2026年8月19日，Adversa AI 证实，其对 xAI 的 Grok 网页聊天发起的零点击攻击在该公司获知此事十一个星期后仍然有效。用户请 Grok 总结一个普通网页。该网页携带一段 AES-256-GCM 密文、用于解开它的密钥材料，以及一条解密指令。Grok 在自己的 Python 沙箱中执行解密，把还原出的文本当作它刚刚执行的代码的输出，随后遵照其内容行事——拼装出一个 URL，其中携带用户的姓名、大致位置、订阅层级以及该对话的提示词，并在攻击者选定的地址打开该 URL。没有点击、没有确认，也没有任何警告。grok.com 上 Grok 网页聊天代理的任何用户，都可能被一个设伏的网页牵着走完这条链条。该记录是AI 事件档案中的一条条目，该档案收录了完整的记录集、其来源以及本系列中相邻的条目。

该记录，以及它描述的是哪类事件

档案馆将本条记录标注为2026年8月19日，即 Adversa 确认该攻击在生产环境中仍然有效的那一天，并将其归类为研究：这是一项发现与概念验证，而非部署事件，也不是数据泄露。Adversa AI 于次日发布了相关文章，2026年8月20日。获得署名的是研究员Rony Utevsky。受影响的产品是 xAI 位于grok.com 的 Grok 网页版聊天，其配置将智能体浏览与 Python 代码执行沙箱相结合，运行Grok 4.5 Fast。

该档案将严重性记录为 高，将条目标记为 无争议，并记录 没有造成实际危害。本文审阅的来源均未报告该技术被用于在现实环境中针对任何人；现有的是一个证明该攻击链能够端到端完成的演示。这一缺口——存在可用的漏洞利用，却没有被利用的证据——正是以下全部内容的框架。

加密指令对旨在捕捉它们的过滤器来说是不透明的

Adversa 称之为 密码学上下文注入的这项技术，针对的是智能体设计中的一个特定接缝。防护栏会检查文本。密文不是分类器能够读取的文本，因此载荷经过加密的页面可以通过检查，而没有可辨读的内容可供标记。载荷仍然需要模型运行代码，并且它明确说明了这一点：它提供 AES-256-GCM 密文、PBKDF2 密钥派生参数以及一个解密请求。

这一区别正是技术核心所在。早期的编码花招——base64、ROT13、简单替换——之所以弱，是因为有能力的模型可以在自身权重内部将其解码，这意味着解码后的文本仍然是生成的内容，过滤器依然可以对其施加作用。强加密无法以这种方式走捷径。正如 Adversa 的文章所言，与 base64 或替换密码不同，“模型自身的权重也无捷径可走。”通往明文的实际路径，是在模型的运行时中执行该密码。

运行该密码算法才会制造真正的漏洞。明文是以模型刚刚运行的代码的输出的形式到达的，它位于可信执行上下文中，而不是作为不受信任的抓取内容到达。Adversa 对这一效果的总结是，“运行时执行将攻击者控制的数据洗白为智能体将据以行动的受信任指令。”云安全联盟于2026年8月23日的研究笔记将这一结构类比为面向返回的编程，其中单独无害的片段组合起来，形成任何片段单独都不具备的行为。

与此相关还有一个注意事项，因为来源如此陈述：模型仍然必须配合。Adversa 报告称，成功率会因目标而异，并随时间推移而变化，而且 Grok 的失败是解密错误，而不是过滤器捕获了载荷。解密是攻击者无法强行完成、只能诱导的一步。

Grok 被要求构建的“钥匙”是一个包含私有字段的表单。

解密后的指令所要求的内容，正是把一条注入的指令变成数据外泄的那一部分。载荷要求 Grok 构造一个额外的“解密密钥”。那个密钥并不是密钥。它是一个 模板字符串，而它插值填入的字段是用户的姓名、粗略位置、订阅层级，以及该用户在对话中的全部提示词。

随后，指令为这个解析后的字符串指定了一个目的地：Grok 被要求打开一个 URL 以“获取额外上下文”，而模板的输出则通过查询参数携带。由于该导航工具具有特权，且所述理由听起来很平常，该请求便经由智能体自身的浏览能力发出。Adversa 称，其公布的推理轨迹显示该请求中包含一个x-auth-token参数。其对这一路径的总结是：“不存在有效的出口边界或同意门禁”，并且“经洗白、由攻击者控制的指令不受阻碍地抵达了特权出口操作。”

范围在这里很重要，而相关报道把这一点模糊了。多家媒体称丢失的是用户的“完整聊天记录”。Adversa 自己的描述范围更窄：即被摘要的那段对话中的提示词，而这些提示词本来就已经在模型的上下文中。研究人员表示，他们并未测试是否能触及其他对话、智能体记忆或其他内容。针对单次会话上下文的模板有可能被扩展；但没有人公布证据表明它确实被扩展了。

十一周，以及一次致谢

Adversa 报告了 Grok 链，既直接向 xAI，也通过公司的 HackerOne 漏洞赏金计划，日期为 2026 年 6 月 3 日。xAI 确认收到报告，但据 Adversa 称，未提供具体细节，也未给出缓解时间表。后续跟进尝试于 8 月 4 日和8 月 10 日均未获答复。该链条在 8 月 19 日仍可复现。Adversa 公开披露于 8 月 20 日，并隐瞒了可操作的攻击载荷以限制滥用。

披露时没有补丁，也没有 CVE 标识符、厂商公告和面向用户的变通方案。《The Register》8月20日的报道、Security Affairs 8月23日的报道，以及 Cloud Security Alliance 同日发布的说明，都描述了同样的状况；除确认外，没有任何一方载有 xAI 的声明。从披露到2026年10月下旬，本文审阅的任何来源均未报告此后已有修复。

什么佐证了这一发现，什么没有

相关报道并不单薄。The Register 在披露当天就进行了报道；Security Affairs 和 Cloud Security Alliance 在三天内跟进；SecurityWeek、The Cyber Express 和 Dataconomy 也对此进行了报道。这构成了来自独立于该研究人员的媒体机构的可观的报道量，也正是该档案的置信度 A评级所依据的：记录充分，原始来源一致。

这并非独立的复现，这一区别值得直白说明。每一种说法都可追溯至同一个研究团队的一次概念验证。Cloud Security Alliance 的说明明确表示，它没有复现该漏洞利用，也没有提供自己的实验室测试，并对其“该缺陷是架构层面的”这一论断有所保留，称其依据是“少数几家供应商”的证据。Security Affairs 未描述任何第三方确认。The Hacker News 的报道载有下文讨论的成功数字，其称 Adversa 是 Grok 这一发现的唯一来源。尚无第二个团队发布针对 grok.com 的运行结果。

随披露一同流传的成功率数字也需要同样谨慎对待。Adversa 报告称，自 2026 年 6 月以来，在约 40%次尝试中成功率约为 20 次尝试，即八次完成的数据外泄，并将失败归因于 Grok 在处理解密时出错，而非过滤器拦截了载荷。该数字出现在云安全联盟的说明以及《黑客新闻》的报道中，后者指出 Adversa 自己发布的报告中并未给出成功率。这是研究者针对研究者自身测试得出的数字，而非产品的实测属性。

同样的技术用于对付其他智能体

Adversa 的文章还回顾了早先针对Google Gemini在 Deep Thinking 模式下进行的一次演示，该演示被识别为Gemini 3 Flash (Web)（付费层级）。在该演示中，解密后的载荷是一段伪造的 Python traceback，其中包含一个虚假的 API 风格回调，似乎会禁用安全策略；模型就如何制造燃烧武器给出了多段式回答，并另行披露了自身的系统指令。据 The Hacker News 报道，这项 Gemini 相关工作首次发布于2026 年 3 月 11 日，并在五次尝试中五次复现。Google 未获通知，因为越狱攻击不在其漏洞披露计划范围内。

Gemini 这一案例从未造成数据外泄，其原因在于架构设计而非运气：它的公共接口没有让模型获得通过 Python 访问外部网站的权限，因此不存在可将数据带出的出站路径。这最清楚地说明了 Grok 漏洞实际需要什么——代码执行和同一上下文中具备网络能力的工具。Adversa 还报告称，截至 2026 年 8 月，Gemini 的成功率大幅下降，且无法将这一变化归因于过滤器、模型版本或两者共同作用。在同一轮跨模型测试中，GPT-5未能解析解密指令，而Claude Sonnet 4.5解密了载荷，随后将明文标记为注入尝试。

于2026年10月6日，Adversa 发布了一项后续研究，使用相同技术针对GitHub Copilot CLI的自动驾驶模式；在该模式下，一个加密页面诱使该智能体读取本地.env.prod文件，并在28 秒内将其发送出去。我们已另行介绍过该演示。这是针对另一款产品的另一条记录，它属于同一技术，而不是本条目。

研究人员称哪些方面应改变

Adversa 的结论是：模型并不是修复此问题的正确位置：“你不需要在模型层修复这个问题。”其建议都处于执行框架层面。在没有工具、没有凭据的上下文中运行不可信内容，并且只将结构化数据传回特权上下文。对不可逆和出站操作进行门控，以便显示完全解析后的参数，并在无人在场时硬性拒绝这些操作。按会话保留带有已解析参数的工具调用轨迹，用于检测和取证，并针对“不可信输入、随后代码执行、随后对外联系”这一序列发出告警，而不是针对任何单个载荷发出告警。

云安全联盟补充了检测视角：在任何解码或解密步骤之后重新对明文进行分类，而不是仅在步骤之前进行；对由模型生成的代码响应外部文档而引发的异常 PBKDF2 或 AES 调用进行标记；并将具有特权的编排代理与处理检索内容的隔离实例分离。

这一领域有一项说法来自厂商。Adversa 销售一个 AI 安全平台，并表示一旦解码程序生成明文，其自家产品就阻止了 Grok 式攻击链。这是关于其产品在自身测试条件下的声明，而非对 Grok 的独立评估，应据此理解。

公开记录中没有任何内容显示 xAI 在该报道之后改变了其代理的行为。这个持久的要点比产品裁决更狭窄，也更难以驳斥：置于转换之前的过滤器无法管控该转换产生的内容，而一个既能运行代码又能访问网络的代理，无论是否有人设计过，都存在一条出站路径。这就是为什么推荐的修复方案是在工具周围设置边界，而不是改进分类器；也是为什么在有人证明并非如此之前，这一记录仍然悬而未决。