Grok 遭密码上下文注入攻击：聊天记录零点击外泄，xAI 两个半月未修复

安全公司 Adversa AI 于 2026 年 8 月 20 日披露，xAI 的 Grok 4.5 Fast 在 grok.com 网页聊天中存在"密码上下文注入"攻击：用户要求摘要普通网页时，姓名、地理位置、订阅档位及当前对话历史可被无提示发送至攻击者服务器。

事实还原：20 次尝试，成功率 40%

Adversa AI 称，该攻击最早于 2026 年 6 月 3 日向 xAI 及 HackerOne 漏洞赏金计划报告，8 月 4 日和 8 月 10 日的后续联系均无回应。8 月 19 日研究人员仍成功复现攻击，目标为 Grok 4.5 Fast。

Adversa 自 6 月起尝试 20 次，成功率 40%，失败原因主要是 Grok 解密困难，而非提示被拦截。

机制拆解：加密指令如何绕过内容分类器

攻击无需用户确认或可见警告。攻击者在网页中植入 AES-256 加密的 JSON 对象及解密指令，Grok 在 Python 代码执行环境中运行 PBKDF2 和 AES-256-GCM 后，将解密后的指令视为可信输出，进而把会话元数据拼入 URL 参数并调用导航工具发送。

攻击流程可以概括为：

1. 网页植入 AES-256 加密 JSON + 解密指令
2. ↓
3. Grok 在 Python 沙箱中执行 PBKDF2 / AES-256-GCM 解密
4. ↓
5. 解密后的指令被视为"可信"代码输出
6. ↓
7. 模型解析私有会话上下文（姓名/位置/订阅档位/对话历史）
8. ↓
9. 数据拼入 URL 参数，调用导航工具外发

复制代码

攻击核心在于将指令以密文形式交付，内容分类器无法在检查阶段读取加密内容。解密后指令要求模型解析私有会话上下文，并构造额外"解密密钥"模板，将姓名、位置、订阅档位和对话历史插入 URL。Grok 随后调用自身工具加载该 URL，完成数据外泄。

Adversa 指出，此类攻击绕过静态过滤，因为指令来自模型刚执行的代码输出，而非直接抓取的网页内容。研究人员未测试是否能访问其他对话或代理内存，仅限于当前上下文。

产业影响：代理架构的信任盲区

该事件显示，AI 代理架构中"信任自身执行环境"的设计使跨上下文信息隔离成为盲区。现有合规评测框架缺乏对执行环境信任劫持的覆盖，导致类似攻击可静默绕过防护。

Adversa 同时提及针对 Gemini 的演示，但该部分研究完成于 2026 年 3 月，且 Google 未被通知，因越狱类问题不在其披露范围内。OpenAI GPT-5 和 Anthropic Claude Sonnet 4.5 在早期测试中分别未能解析或标记了载荷。

防御思路：把隔离做在模型之外

从已披露事实看，xAI 两个半月未响应可能放大信任风险。开发者需在代理框架层增加隔离：将不可信内容限制在无工具、无凭证的上下文中，仅返回结构化数据；对出站操作设置确认闸门。此类控制位于模型之外的 harness，而非模型本身。

与历史先例对照，该攻击类似早期提示注入的演进，但加密手段使其更难被静态检测。利益相关方中，用户面临数据泄露，平台则需权衡修复成本与代理能力开放度。Adversa 建议的隔离措施可作为短期缓解路径。

本文首发于赢政天下 (https://www.winzheng.com)，获取更多深度技术内容与资源，欢迎访问官网。