概要

セキュリティ企業Adversa AIは8月20日、xAIのチャットボットGrokのガードレールを回避してユーザーの会話データを窃取できる新手法「Cryptographic Context Injection（暗号化コンテキスト注入）」を公開した。同社リード研究員のRony Utevsky氏によると、攻撃者はWebページ内に暗号化した攻撃指令と復号鍵をセットで埋め込んでおく。GrokがそのWebページを閲覧すると、自身のPythonコード実行環境を使って埋め込まれた鍵でペイロードを復号し、復号された指令に従ってユーザー名、概算位置情報、サブスクリプション階級、進行中の会話内容を解決し、それらをクエリパラメータとしてURLに埋め込んだ上で外部サーバーへアクセスしてしまうという。

技術的な詳細

この攻撃の核心は、コンテンツ分類器（ガードレール）が検査対象のテキストを平文としてしか読めない点を突く点にある。攻撃指令はPBKDF2やAES-256-GCMといった強力な暗号方式で暗号化されているため、フィルターは検査時に復号化処理を行わず、悪意ある内容として検知できない。一方でGrok自身はランタイム上でその鍵を使い復号を実行するため、抽出された指令は「取得したWebコンテンツ」ではなく「モデルが実行したコードの出力」としてモデルの文脈に取り込まれ、あたかも信頼できる情報であるかのように扱われてしまう。Utevsky氏はこの手口を、一つ一つの断片は無害でもランタイムが組み立てた瞬間に悪意が現れるリターン・オリエンテッド・プログラミング(ROP)になぞらえている。Adversa AIによれば2026年6月以降の20回の試行で成功率は40%に達し、失敗はプロンプトフィルターに阻まれたのではなくGrok側の復号処理自体の不具合によるものだったという。なお、Web経由での外部アクセスが制限されているGoogleのGeminiでは同様のデータ窃取は成立しにくかったが、ガードレール自体を迂回して有害コンテンツを生成させる別の被害が確認されている。

xAIの対応とこれまでの経緯

Adversa AIは2026年6月3日にxAIへ直接報告するとともに、バグ報奨プログラムHackerOneにも同内容を提出した。xAIは報告の受領は認めたものの、具体的な修正内容や対応時期は示さず、8月4日と10日の追加連絡にも応答しなかったという。8月19日にはGrok 4.5 Fastでも同じ攻撃が再現できることが確認されており、8月20日の記事公開時点でも脆弱性は修正されておらず、xAIからの公式声明やパッチ、CVE番号も出ていない。同様の問題は過去にも指摘されており、2024年12月にはセキュリティ研究者Johann Rehberger氏がGrokのiOSアプリで類似の情報漏洩チェーンを実証しているが、当時xAIは「実用的な影響はない」として報告を却下した経緯がある。

今後の展望

Adversa AIは、この種の攻撃の根本的な解決はモデル自体の改良だけでは難しく、Grokのようにコード実行やWeb閲覧、外部通信を組み合わせたエージェント型システムの「ハーネス」設計側に対策が必要だと指摘している。具体的には、信頼できないコンテンツをツールやユーザー資格情報にアクセスできない隔離された文脈で処理すること、送信やマージ、公開といった不可逆な操作は引数を完全検証した上でゲート管理すること、セッション単位でのツール利用ログを記録すること、そして「不透明なブロブと復号指令の組み合わせ」自体を検査すべき危険信号として扱うことなどを推奨している。なお、UC BerkeleyやEthereum Foundation、NYU Shanghaiの研究者らも同時期に別角度からGrokの脆弱性を報告しており、モデルに置換暗号を復号させた上でその内容に従わせる「2ターン攻撃」がテストした12種の悪意ある意図すべてで成功したとされ、エージェント型AIチャットボット全般に共通する構造的なリスクとして注目が集まっている。