Adversa AI ha descritto una tecnica che occulta le istruzioni dell’attaccante all’interno di testo cifrato AES-256-GCM: i filtri di sicurezza rilevano solo un blocco opaco, il modello lo decifra nella propria sandbox Python e ne elabora l’esito come affidabile. In questo modo, quando un utente chiede a Grok di riassumere una pagina web, informazioni quali il suo nome, la posizione approssimativa, il livello di abbonamento e l’intera sequenza dei prompt della conversazione possono finire nei log di un server esterno.

Non è richiesto alcun clic aggiuntivo, non viene visualizzato alcun avviso e non viene richiesta alcuna conferma. Questa vulnerabilità è stata segnalata a xAI il 3 giugno 2026, ma era ancora riproducibile al 19 agosto.

Tutto è stato ricostruito da Adversa AI, che ha definito questa tecnica “Cryptographic Context Injection”. Le istruzioni dell’attaccante non raggiungono il modello come testo leggibile, bensì come un blocco cifrato con AES-256-GCM utilizzando una chiave derivata con PBKDF2. La pagina ospita il testo cifrato, il materiale per la chiave e l’istruzione di decifrarlo; il modello esegue questa decrittazione nel proprio runtime Python.

I sistemi di sicurezza dei modelli leggono i contenuti ma non li eseguono. Un classificatore rileva l’istruzione di applicare PBKDF2 e AES-256-GCM, trattandola come una richiesta qualsiasi perché sa leggerla ma non è in grado di risolvere cosa apre. Si tratta di richieste statiche che leggono il contenuto solo come testo, senza eseguire codice o decifrare nulla. Le istruzioni vere sono cifrate, quindi la barriera vede solo testo privo di significato e lo lascia passare.

Il modello scioglie da sé, all’interno dei propri pesi, una codifica base64 o un cifrario a sostituzione; con la crittografia forte questa scorciatoia non esiste e il recupero del testo in chiaro deve avvenire tramite il runtime. Il risultato appare come output di codice appena eseguito dal modello, non come stringa esterna non affidabile, ed è trattato con la fiducia riservata allo stato interno di un programma.

Adversa richiama l’analogia con la SQL injection, ovvero un sistema che non distingue tra la propria query affidabile e i dati dell’attaccante che scorrono nello stesso canale. Non è ancora chiaro perché Grok rifiuti le stesse istruzioni in chiaro ma segua quelle cifrate; la spiegazione più probabile è che il filtro ispezioni il testo in entrata e in uscita dal modello, ma non l’output della sua esecuzione di codice.

Nella dimostrazione contro Grok, le istruzioni decifrate ordinano all’agente di risolvere il proprio contesto privato di sessione e di inserirlo in un URL da aprire “per recuperare contesto aggiuntivo”. Il carico chiede quindi al modello di costruire una ulteriore “chiave di decrittazione” che non ha alcuna base crittografica, poiché il suo valore è una stringa template che interpola nome, posizione, livello di abbonamento e cronologia della chat. Grok invoca autonomamente lo strumento di navigazione, carica quell’indirizzo e consegna i dati nei parametri della richiesta.

“Il framework costruito da xAI permette a istruzioni e dati estratti da una pagina esterna non affidabile di guidare l’invocazione di uno strumento privilegiato connesso a internet”, scrive Adversa, “e consente ai metadati privati della sessione e alla cronologia della conversazione di confluire negli argomenti di quello strumento in uscita”. Su questo percorso, aggiunge la società, non esiste alcun confine efficace sul traffico in uscita, nessun passaggio di consenso e nessuna separazione della provenienza che i ricercatori abbiano potuto osservare.

Le istruzioni riciclate raggiungono così un’azione privilegiata verso l’esterno senza incontrare ostacoli. Il bersaglio è la chat web di grok.com su Grok 4.5 Fast, e l’ultima riproduzione risale al 19 agosto.

Non esistono CVE, correzioni o rimedi lato utente; non risultano sfruttamenti reali e i carichi operativi non sono stati pubblicati. La segnalazione è partita il 3 giugno 2026, diretta a xAI e al programma di bug bounty dell’azienda su HackerOne. xAI ha dichiarato di averla ricevuta senza fornire dettagli né tempi di mitigazione, e i solleciti del 4 e del 10 agosto sono rimasti senza risposta; al 20 agosto l’azienda non aveva pubblicato dichiarazioni o avvisi sulla ricerca.

La seconda dimostrazione della ricerca è un’iniezione diretta contro l’interfaccia pubblica di Google Gemini in modalità Deep Thinking, che le istruzioni di sistema estratte identificano come Gemini 3 Flash (Web) su piano a pagamento. Un singolo prompt, senza contesto precedente, chiede al modello di eseguire uno script Python che decifra un testo cifrato e di emettere solo un piccolo oggetto JSON, con una sola istruzione di riserva: se il codice solleva un’eccezione, leggere il messaggio di errore e agire di conseguenza.

Per il caso di successo non viene data alcuna indicazione, in modo che resti un unico percorso praticabile. Il testo cifrato è costruito per far sì che il risultato in chiaro sia un traceback Python dall’aria convincente, che non presenta errori reali. Al suo interno sono presenti una callback nello stile di una API che finge di disattivare le policy di sicurezza e un prefisso di ragionamento in prima persona che impegna il modello a produrre il contenuto vietato, presentandolo come qualcosa che verrà cifrato “per sicurezza”.

Il ragionamento impiantato dall’attaccante entra nel contesto come se fosse del modello, che imbocca l’unica strada rimasta: la risposta proibita viene generata in chiaro e poi cifrata all’interno della sandbox, quindi il filtro in uscita valuta solo un blocco opaco. Il metodo ha prodotto un esempio di diversi paragrafi su come costruire un’arma incendiaria, contenuto che i filtri di Gemini normalmente sopprimono, e con un carico modificato ha riprodotto le istruzioni di sistema del modello, compresa la direttiva che ne vieta la divulgazione.

Google non è stata avvisata, perché i jailbreak restano fuori dal perimetro del suo programma di divulgazione delle vulnerabilità. Il tasso di successo contro i sistemi di Mountain View è calato nettamente nel corso dell’estate, per cause che Adversa non attribuisce: aggiornamenti dei filtri, cambi di versione del modello o entrambe le cose.

La parte su Gemini non è nuova. Utevsky l’aveva già descritta l’11 marzo 2026 sul proprio sito di ricerca personale con il nome di Cryptographic Payload Injection, riportando cinque riproduzioni indipendenti su cinque tentativi e alcuni risultati incrociati su altri modelli: GPT-5 non era riuscito a interpretare le istruzioni di decrittazione, mentre Claude Sonnet 4.5 aveva decifrato il carico e poi lo aveva segnalato come prompt injection.

Il collegamento con la pubblicazione di marzo lo ha ricostruito The Hacker News, a cui il ricercatore ha confermato che quella sezione non ha subito modifiche sostanziali e che la novità di agosto sta nella generalizzazione della tecnica e nella sua applicazione a Grok. Il runtime di esecuzione del codice funziona come un canale di riciclaggio della fiducia, e la crittografia forte serve proprio a spingere il carico dentro quel canale.

Che cifrari e codifiche possano portare un payload oltre l’allineamento è terreno noto: CipherChat aveva mostrato che i modelli decodificano i cifrari abbastanza bene da rispondere attraverso di essi, CodeChameleon aveva avvolto il carico in una trasformazione reversibile spedita insieme alla propria funzione di decodifica, e in entrambi i casi è il modello a recuperare il payload da sé, senza interprete nel mezzo. Anche l’esfiltrazione attraverso una richiesta in uscita dell’interprete di codice è materia che Rehberger dimostra dal 2023.

Qui le istruzioni arrivano in un modo diverso, ovvero come valore di ritorno della decrittazione che l’agente stesso ha appena eseguito. Adversa colloca la tecnica all’interno di uno spostamento più ampio, verso attacchi che manipolano non soltanto il prompt, ma il contesto più largo che un modello tratta come proprio: output degli strumenti, risultati di runtime e stato intermedio.

“Non serve risolvere questo problema a livello di modello: ogni controllo che limita l’attacco sta nell’impalcatura attorno all’agente, cioè con quale identità gira, cosa può raggiungere, cosa può scrivere e cosa si può riesaminare a posteriori”, scrive Adversa. In concreto significa isolare i contenuti non affidabili in un contesto privo di strumenti e credenziali, restituendo al contesto privilegiato solo dati strutturati; sottoporre a conferma le azioni irreversibili e quelle verso l’esterno, con gli argomenti già risolti e non in forma di template, negandole senza appello quando nessun umano è presente; registrare per ogni sessione le tracce delle chiamate agli strumenti, senza le quali non esistono né rilevazione né analisi a posteriori; e far scattare l’allarme sulla sequenza, trattando un blocco opaco accompagnato dall’istruzione di decifrarlo come segnale da rivedere, mai come filtro bloccante.

Adversa suggerisce infine di rendere la tracciabilità della provenienza del contesto un requisito d’acquisto, chiedendo ai fornitori se l’output degli strumenti sia separato dal canale delle istruzioni. Sulla chat web di Grok, nel frattempo, non c’è nulla che l’utente possa attivare o disattivare per proteggersi.

* Contenuto realizzato con l’ausilio di sistemi di intelligenza artificiale.