🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Adversa AI divulgou uma técnica de ataque que pode fazer com que o chatbot Grok da xAI envie o nome de um usuário, localização aproximada, nível de assinatura e os prompts da conversa em andamento para um servidor controlado pelo invasor após o usuário solicitar que ele resumir uma página da web comum.
A empresa de segurança de IA, que batizou a técnica de “Injeção de Contexto Criptográfico”, disse que a transferência foi concluída sem uma etapa de confirmação e sem nenhum aviso visível em sua demonstração de prova de conceito.
Não há patch, nenhum identificador CVE e nenhuma solução alternativa para o usuário, e o artigo não relata qualquer exploração em estado selvagem. Questionado sobre qual versão foi testada, Adversa disse ao The Hacker News que o alvo era o chat na web do Grok em grok.com executando o Grok 4.5 Fast, e que o ataque foi reproduzido uma vez em 19 de agosto de 2026.
O artigo não fornece taxa de sucesso. A empresa disse que tentou o ataque 20 vezes desde junho, com uma taxa de sucesso de 40%, e que as falhas vieram da dificuldade de Grok com a descriptografia, e não de um aviso ou resposta sinalizada.
A técnica envia as instruções do invasor como texto cifrado em vez de texto legível, com a página carregando um objeto JSON criptografado, o material da chave e uma instrução para descriptografá-lo, que Grok executa em seu próprio tempo de execução de código Python.
A recuperação do texto simples requer a execução de PBKDF2 e AES-256-GCM, o que um classificador de conteúdo não faz no momento da inspeção. Conseqüentemente, as instruções chegam ao contexto do modelo como a saída do código que o modelo acabou de executar, e não como conteúdo da web buscado.
“A criptografia forte não pode ser lida por um classificador de conteúdo e não pode ser um atalho em pesos, então força a recuperação através do tempo de execução do qual o ataque depende. Se uma codificação mais fraca também ignoraria os filtros específicos de um determinado alvo é uma questão empírica”, disse Rony Utevsky, pesquisador-chefe da Adversa AI.
As instruções descriptografadas direcionam o agente para resolver seu contexto de sessão privada e incorporá-lo em uma URL que ele deve abrir para "buscar contexto adicional".
Um elemento da cadeia faz com que o modelo construa uma "chave de descriptografia" adicional que não é material de chave e cujo valor é uma string de modelo interpolando o nome, localização, nível e histórico de bate-papo. Grok então invoca sua própria ferramenta de navegação para carregar esse URL, transportando os dados nos parâmetros de consulta da solicitação.
Utevsky disse que as instruções recebidas no cenário testado foram limitadas à conversa em andamento e que tudo o que foi extraído já estava no contexto do modelo. O alcance do agente, disse ele, se estende a “tudo o que ele mantém no contexto ou pode buscar com suas ferramentas”, e a empresa não testou se poderia acessar outros chats, memória do agente ou outro conteúdo.
"A estrutura construída por xAI permite que instruções e dados analisados de uma página externa não confiável conduzam a invocação de uma ferramenta privilegiada conectada à Internet; permite que metadados de sessões privadas e histórico de conversas sejam resolvidos nas entradas dessa ferramenta de saída; e não impõe nenhum limite de saída efetivo ou porta de consentimento neste caminho, e nenhuma separação de proveniência que possamos observar. As instruções lavadas e controladas pelo invasor alcançam uma ação de saída privilegiada sem impedimentos", disse Adversa.
A empresa disse que relatou o problema pela primeira vez ao xAI em 3 de junho de 2026 e ao programa de recompensas de bugs HackerOne do xAI na mesma data; que a xAI reconheceu o relatório sem fornecer detalhes ou um cronograma de mitigação, e que outras tentativas de contato em 4 e 10 de agosto não obtiveram resposta.
Adversa é a única fonte da descoberta de Grok, disse que está retendo as cargas operacionais para evitar a exploração, e a xAI não publicou uma declaração ou comunicado sobre a pesquisa em 20 de agosto de 2026.
Uma segunda demonstração no mesmo artigo tem como alvo o Gemini do Google no modo Deep Thinking, onde um único prompt faz o modelo descriptografar uma carga útil que se resolve em um rastreamento Python fabricado carregando um retorno de chamada de desativação de política de segurança falso e um prefixo de raciocínio em primeira pessoa que pré-compromete-o com a saída restrita.
Adversa disse que o vetor produzia conteúdo restrito e reproduzia as instruções do sistema do Gemini, que identificou como Gemini 3 Flash (Web) no nível pago. O Google não foi notificado, disse Adversa, porque os jailbreaks estão fora do escopo de seu programa de divulgação, e a taxa de sucesso contra os agentes da empresa “caiu significativamente em agosto”, com a causa não atribuída entre atualizações de filtros e mudanças de versão do modelo.
A demonstração do Gemini foi publicada substancialmente da mesma forma cinco meses antes. Utevsky descreveu a mesma cadeia em seu site de pesquisa pessoal em 11 de março de 2026, sob o nome Cryptographic Payload Injection, relatando cinco de cinco reproduções independentes e resultados de modelos cruzados em
A empresa de segurança de IA, que batizou a técnica de “Injeção de Contexto Criptográfico”, disse que a transferência foi concluída sem uma etapa de confirmação e sem nenhum aviso visível em sua demonstração de prova de conceito.
Não há patch, nenhum identificador CVE e nenhuma solução alternativa para o usuário, e o artigo não relata qualquer exploração em estado selvagem. Questionado sobre qual versão foi testada, Adversa disse ao The Hacker News que o alvo era o chat na web do Grok em grok.com executando o Grok 4.5 Fast, e que o ataque foi reproduzido uma vez em 19 de agosto de 2026.
O artigo não fornece taxa de sucesso. A empresa disse que tentou o ataque 20 vezes desde junho, com uma taxa de sucesso de 40%, e que as falhas vieram da dificuldade de Grok com a descriptografia, e não de um aviso ou resposta sinalizada.
A técnica envia as instruções do invasor como texto cifrado em vez de texto legível, com a página carregando um objeto JSON criptografado, o material da chave e uma instrução para descriptografá-lo, que Grok executa em seu próprio tempo de execução de código Python.
A recuperação do texto simples requer a execução de PBKDF2 e AES-256-GCM, o que um classificador de conteúdo não faz no momento da inspeção. Conseqüentemente, as instruções chegam ao contexto do modelo como a saída do código que o modelo acabou de executar, e não como conteúdo da web buscado.
“A criptografia forte não pode ser lida por um classificador de conteúdo e não pode ser um atalho em pesos, então força a recuperação através do tempo de execução do qual o ataque depende. Se uma codificação mais fraca também ignoraria os filtros específicos de um determinado alvo é uma questão empírica”, disse Rony Utevsky, pesquisador-chefe da Adversa AI.
As instruções descriptografadas direcionam o agente para resolver seu contexto de sessão privada e incorporá-lo em uma URL que ele deve abrir para "buscar contexto adicional".
Um elemento da cadeia faz com que o modelo construa uma "chave de descriptografia" adicional que não é material de chave e cujo valor é uma string de modelo interpolando o nome, localização, nível e histórico de bate-papo. Grok então invoca sua própria ferramenta de navegação para carregar esse URL, transportando os dados nos parâmetros de consulta da solicitação.
Utevsky disse que as instruções recebidas no cenário testado foram limitadas à conversa em andamento e que tudo o que foi extraído já estava no contexto do modelo. O alcance do agente, disse ele, se estende a “tudo o que ele mantém no contexto ou pode buscar com suas ferramentas”, e a empresa não testou se poderia acessar outros chats, memória do agente ou outro conteúdo.
"A estrutura construída por xAI permite que instruções e dados analisados de uma página externa não confiável conduzam a invocação de uma ferramenta privilegiada conectada à Internet; permite que metadados de sessões privadas e histórico de conversas sejam resolvidos nas entradas dessa ferramenta de saída; e não impõe nenhum limite de saída efetivo ou porta de consentimento neste caminho, e nenhuma separação de proveniência que possamos observar. As instruções lavadas e controladas pelo invasor alcançam uma ação de saída privilegiada sem impedimentos", disse Adversa.
A empresa disse que relatou o problema pela primeira vez ao xAI em 3 de junho de 2026 e ao programa de recompensas de bugs HackerOne do xAI na mesma data; que a xAI reconheceu o relatório sem fornecer detalhes ou um cronograma de mitigação, e que outras tentativas de contato em 4 e 10 de agosto não obtiveram resposta.
Adversa é a única fonte da descoberta de Grok, disse que está retendo as cargas operacionais para evitar a exploração, e a xAI não publicou uma declaração ou comunicado sobre a pesquisa em 20 de agosto de 2026.
Uma segunda demonstração no mesmo artigo tem como alvo o Gemini do Google no modo Deep Thinking, onde um único prompt faz o modelo descriptografar uma carga útil que se resolve em um rastreamento Python fabricado carregando um retorno de chamada de desativação de política de segurança falso e um prefixo de raciocínio em primeira pessoa que pré-compromete-o com a saída restrita.
Adversa disse que o vetor produzia conteúdo restrito e reproduzia as instruções do sistema do Gemini, que identificou como Gemini 3 Flash (Web) no nível pago. O Google não foi notificado, disse Adversa, porque os jailbreaks estão fora do escopo de seu programa de divulgação, e a taxa de sucesso contra os agentes da empresa “caiu significativamente em agosto”, com a causa não atribuída entre atualizações de filtros e mudanças de versão do modelo.
A demonstração do Gemini foi publicada substancialmente da mesma forma cinco meses antes. Utevsky descreveu a mesma cadeia em seu site de pesquisa pessoal em 11 de março de 2026, sob o nome Cryptographic Payload Injection, relatando cinco de cinco reproduções independentes e resultados de modelos cruzados em
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #novo #ataque #de #injeção #de #contexto #criptográfico #pode #permitir #que #páginas #da #web #roubem #dados #de #batepapo #do #grok
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário