Grok lekt chatgeschiedenis via versleutelde instructies op een webpagina

Grok lekt de chatgeschiedenis van gebruikers zodra de assistent een webpagina samenvat waarop een aanvaller versleutelde instructies heeft gezet, demonstreert beveiligingsbedrijf Adversa AI in een aanval die het Cryptographic Context Injection noemt.

Wat daarbij naar buiten gaat is concreet: de naam van de gebruiker, zijn grove locatie, zijn abonnementsniveau en alle prompts uit het lopende gesprek, verpakt als parameters in een URL die Grok vervolgens zelf opent. Er komt geen klik aan te pas, geen bevestigingsvraag en geen waarschuwing. Laat je personeel Grok gebruiken bij het werk, dan kan alles wat iemand in dat venster typte, klantnamen, offertebedragen, een stuk broncode, weglekken via de doodgewone opdracht om een pagina samen te vatten. Adversa meldde het probleem op 3 juni bij xAI en kon het op 19 augustus nog steeds reproduceren, dus wachten op een patch is voorlopig geen strategie.

Waarom het filter de instructie niet ziet

De guardrail van een taalmodel is een classificatielaag: hij leest tekst, hij voert die niet uit. Precies dat verschil gebruikt Adversa. Op de aanvalspagina staat een versleuteld JSON-object, en er staat gewoon bij hoe je het ontsleutelt, sleutelmateriaal inbegrepen. Het filter ziet ruis en laat het door. Grok pakt de instructie op, draait PBKDF2 en AES-256-GCM in zijn eigen Python-omgeving en krijgt de echte opdracht terug als uitvoer van code die het model zojuist zelf heeft uitgevoerd. Daar zit de kern van de truc: uitvoer uit de eigen sandbox behandelt het model als vertrouwde context, niet als tekst van een vreemde webpagina. Adversa noemt de runtime daarom een witwaskanaal voor vertrouwen.

Eerdere trucs met base64 of een substitutiecijfer werkten anders. Die codering kan een model uit zijn eigen gewichten terugdraaien, zonder interpreter. Sterke encryptie kan dat niet, en juist daardoor moet de ontsleuteling wel door de code-runtime. Dat is de ene route waar geen enkel inhoudsfilter meekijkt.

De vermomming zit in de laatste stap. De ontsleutelde instructie draagt het model op nog een "decryptiesleutel" op te bouwen, maar die sleutel is geen sleutel: het is een sjabloon dat de naam, de locatie, het abonnement en de gespreksgeschiedenis van de gebruiker invult. Die waarde plakt de agent achter een URL die hij opent om "extra context op te halen", en daarmee staat de data in de logs van de aanvaller. Waarom Grok exact dezelfde instructie in platte tekst wel weigert, valt niet met zekerheid vast te stellen, tekent Ars Technica op. De werkende theorie is dat het filter in- en uitgaande tekst bekijkt, maar niet de uitvoer van de eigen code-executie.

Data eruit, niet alleen een filter omzeild

Dat onderscheid is belangrijk, want lang niet elke guardrail-omzeiling is een datalek. Bij Grok is het dat wel. Getest is de webchat op Grok.com met het bijbehorende agentische browse-raamwerk, en daar liep de volledige keten door: van vergiftigde pagina tot gebruikersdata op een server van de aanvaller. Een specifieke modelversie noemen de onderzoekers niet.

Bij Gemini bleef het bij het eerste. Dezelfde techniek werkte op de publieke chat-interface, volgens de uitgelezen systeeminstructies Gemini 3 Flash in de webversie op de betaalde laag, en leverde inhoud op die de veiligheidsfilters normaal blokkeren: een uitleg over het bouwen van een brandwapen en, met een aangepaste payload, de eigen systeeminstructies. Data wegsluizen lukte daar niet, omdat Gemini zijn Python-omgeving geen toegang tot externe websites geeft. Google is niet ingelicht, want jailbreaks vallen buiten het meldprogramma. Sinds de zomer is het slagingspercentage tegen Gemini sterk gedaald, zonder dat Adversa kan zeggen of dat aan filterupdates of aan een nieuwe modelversie ligt.

xAI kreeg drie kansen

De tijdlijn is het vervelendste deel voor wie op de leverancier vertrouwt. Adversa meldde de aanval op 3 juni 2026 rechtstreeks en via het HackerOne-programma van xAI. Het bedrijf bevestigde de melding, maar gaf geen details en geen termijn waarop het gat dicht zou gaan. Op 4 en 10 augustus probeerden de onderzoekers opnieuw contact te leggen en kregen geen reactie meer; SpaceX, dat xAI dit jaar overnam, wilde tegenover The Register niet reageren. De concrete payloads houdt Adversa achter, maar de aanvalsketen ligt nu publiek.

Wat je vandaag kunt dichtzetten

Het model repareren is niet de route. Elke bruikbare maatregel zit in het harnas rond de agent: onder welke identiteit hij draait, wat hij mag bereiken, wat hij mag wegschrijven en wat je achteraf kunt teruglezen. Adversa noemt vier controles.

• Zet niet-vertrouwde inhoud apart. Laat een pagina, ticket of mailthread samenvatten in een context zonder tools en zonder inloggegevens, die alleen gestructureerde data teruggeeft aan de bevoorrechte context.
• Zet een poort voor uitgaande en onomkeerbare acties. Nieuwe netwerkbestemmingen, pushes, merges en schrijfacties buiten de werkmap alleen na bevestiging, met de volledig ingevulde argumenten in beeld. Kijkt er niemand mee, dan wordt hetzelfde rijtje een harde weigering.
• Log per sessie elke tool-aanroep met opgeloste argumenten. Zonder dat spoor heb je geen detectie en geen forensisch onderzoek, en kun je niet nagaan wat de agent las voordat hij handelde.
• Alarmeer op de keten, niet op een losse payload. Niet-vertrouwde inhoud binnen, code uitgevoerd, daarna contact met een host buiten de eigen afhankelijkheden: dat patroon is het signaal. Een blob met een ontsleutelinstructie is een reden om te kijken, geen filter om op te blokkeren.

Praktisch betekent dat voor een Nederlandse organisatie: zolang er geen fix is, zet je de browse- en samenvatfunctie dicht op URL's die je niet zelf beheert, en beperk je elke Grok-koppeling die verder reikt dan een enkel gesprek. Dat laatste weegt zwaarder naarmate de assistent meer rechten kreeg. Wie Grok-agents in bèta liet inloggen in de apps die het team al gebruikt, heeft niet alleen sessiedata maar echte accounts binnen bereik van dezelfde keten.

Het patroon achter deze week

Cryptographic Context Injection staat niet op zichzelf. Twee dagen eerder dichtte Microsoft drie gaten waarin een ongedocumenteerde parameter autorun=1 een enkele klik genoeg maakte om inbox, wachtwoorden en agenda naar een server van de aanvaller te sturen. Adversa liet in juli hetzelfde structuurprobleem zien bij codeeragents, waar tien van de elf geteste open-source agents een beveiligingsfilter passeerden omdat Bash het commando pas herschrijft nadat het filter ernaar heeft gekeken.

Telkens gaat hetzelfde stuk. Het filter inspecteert een string, terwijl de agent een programma uitvoert dat zijn betekenis pas tijdens het draaien krijgt. Zolang leveranciers die twee eenheden niet gelijktrekken, verschuift het aanvalsoppervlak van de prompt naar alles wat het model als eigen context aanneemt: tool-uitvoer, runtime-resultaten, tussenstand. Dat maakt de vraag bij het inkopen van een AI-assistent een andere dan vorig jaar. Niet hoe goed de filters zijn, maar of de agent een tool-aanroep kan weigeren waarvan de argumenten uit opgehaalde inhoud komen, en of jij achteraf kunt zien dat hij dat deed.