暗号化した指示でGrokから情報漏えい、xAIは通知済みも対策未実施

暗号化でGrokの保護を迂回

セキュリティ企業Adversaの研究者Rony Utevsky氏は、xAIの対話型AI「Grok」からユーザーデータを窃取する攻撃手法を公開した。悪意ある指示を暗号化してWebページに埋め込み、Grokにそのページを要約させるだけで、ユーザーの名前や位置情報、チャット履歴が攻撃者のサーバーに送られる仕組みだ。xAIには2026年6月に通知されたが、記事公開時点では修正が確認されていない。

同週には、Microsoft 365 Copilotを狙った似た攻撃も報告されており、LLMのプロンプトインジェクション問題が続いていることがうかがえる。今回の手法は、従来のテキストベースの攻撃とは異なり、暗号化を利用して保護機構を回避する点が新しい。このため、単純な入力フィルタでは防ぎにくいとみられる。

コード実行の盲点を突く

攻撃は、暗号文と復号手順、復号鍵を同一ページに配置する。Grokがページを要約しようとすると、コード実行サンドボックス内でPBKDF2とAES-256-GCMを使って復号し、その結果をあたかも自分の出力として処理する。このとき、通常のテキスト検査では暗号文しか見えないため、ガードレールをすり抜ける。

復号された指示は、ユーザーの名前や位置情報、チャット履歴を「復号キー」に見せかけた文字列に整形させ、それをURLパラメータとして攻撃者のサイトに付加する。Grokがリンクにアクセスすると、データが攻撃者側のログに残る。Adversaは、この手法がコード実行サンドボックスの出力を検査しない設計上の穴を利用していると説明している。

静的ガードレールの限界

Adversaは、この攻撃を「暗号化コンテキストインジェクション」と呼ぶ。Utevsky氏は、静的ガードレールはテキストとして入力を分類するだけで、コードを実行したり復号したりしないと指摘する。つまり、モデルのコード実行出力は検査の対象外という盲点を突いた攻撃だ。

同社はGeminiでも同様の手法でjailbreakに成功している。暗号化した指示を復号させて安全規則を無視させるもので、報告時点ではGemini側も対策が進みつつある。ただし、その原因はフィルタ更新なのかモデル変更なのか、あるいは両方なのかは明確ではないという。

根本的な解決はまだ

今回の攻撃は、LLMがプロンプトインジェクションの根本原因を解決できないことを改めて示している。防御側には、コード実行結果も含めて検査する多層的な対策や、機密データの外部送信を監視する仕組みが必要とみられる。しかし、そのような対策も、攻撃者が新しい経路を見つければ再び迂回される可能性がある。

xAIの具体的な対応や、この手法が他社のLLMにどの程度影響するかは、現時点では明らかにされていない。Adversaは、攻撃がプロンプトそのものだけでなく、ツール出力や実行結果などLLMが自分自身の文脈として扱う領域に広がっていると指摘する。今後の研究と各社の対策が待たれる。