Grok svela dati personali con la generazione dei riassunti

I ricercatori di Adversa hanno descritto una nuova tecnica, denominata Cryptographic Context Injection, che permette di esfiltrare dati personali chiedendo a Grok di generare il riassunto di una pagina web. Ciò avviene attraverso l’esecuzione di istruzioni cifrate nascoste. Nonostante la segnalazione a xAI, la vulnerabilità è ancora presente. Microsoft ha invece rilasciato la patch per un bug di Copilot.

Cryptographic Context Injection

La tecnica più nota per ingannare un chatbot si chiama prompt injection indiretto. I cybercriminali nascondono istruzioni in pagine web, email o documenti che vengono eseguite all’insaputa dell’utente. I modelli AI più recenti possono rilevate la “trappola” e bloccare l’esecuzione. Gli esperti di Adversa hanno descritto una nuova tecnica, denominata Cryptographic Context Injection, che permette di aggirare le protezioni di Grok.

Il trucco è nascondere in una pagina web istruzioni in forma cifrata, insieme alle istruzioni per decifrarle e alla chiave di decifrazione. Quando l’utente chiede di generare il riassunto della pagina, Grok esegue le istruzioni senza visualizzare avvisi o chiedere la conferma all’utente.

Le istruzioni decifrate guidano il chatbot a costruire quella sembra una chiave di decifrazione. In realtà, il valore della falsa chiave è costituito dai dati dell’utente, tra cui nome, posizione e cronologia delle chat. Le informazioni vengono successivamente inviate da Grok al server controllato dai cybercriminali.

I ricercatori di Adversa hanno segnalato la vulnerabilità a giugno, ma xAI non ha ancora risolto il problema. Una simile tecnica è stato utilizzata per eseguire un attacco di prompt injection contro Gemini. Google ha tuttavia rafforzato le protezioni nelle ultime settimane, quindi il chatbot può resistere all’attacco.