Pedirle a un asistente que te resuma una página web. Esa es toda la acción del usuario en este ataque.
El 20 de agosto de 2026, Adversa AI dio a conocer una técnica que llama inyección de contexto criptográfica y que, según la firma, puede hacer que Grok, de xAI, envíe a un servidor controlado por el atacante el nombre del usuario, su ubicación aproximada, su nivel de suscripción y los prompts de la conversación en curso. En la demostración, la transferencia «se completó sin paso de confirmación y sin aviso visible».
Por qué un filtro de contenido no puede verlo
El ataque no esconde las instrucciones con un giro ingenioso de redacción. Las esconde en texto cifrado.
La página lleva un objeto JSON cifrado, el material de la clave y una instrucción para descifrarlo. Recuperar el texto en claro exige ejecutar PBKDF2 y AES-256-GCM, cosa que el modelo hace en su propio entorno de ejecución de código Python. Un clasificador de contenido que inspeccione la página descargada ve bytes cifrados, porque un clasificador no ejecuta funciones criptográficas en el momento de inspeccionar.
El resultado es una evasión por arquitectura y no por redacción: las instrucciones llegan al contexto del modelo como salida de un código que el propio modelo acaba de ejecutar, no como contenido web descargado.
El investigador principal de Adversa, Rony Utevsky, expone el razonamiento sin rodeos: «Un cifrado fuerte no puede ser leído por un clasificador de contenido ni resuelto por atajo dentro de los pesos, así que fuerza la recuperación a través del entorno de ejecución del que depende el ataque». También marca el límite de esa afirmación, algo poco habitual en una divulgación: «Que una codificación más débil también evadiera los filtros concretos de un objetivo dado es una cuestión empírica».
Qué pasa después del descifrado
Las instrucciones recuperadas le dicen al asistente que reúna el contexto de su propia sesión y lo meta en una URL, que se le indica abrir para «obtener contexto adicional».
Un paso de la cadena merece describirse, porque enseña lo corriente que es el disfraz. Al modelo se le pide construir una «clave de descifrado» adicional que no es material de clave en absoluto: su valor es una plantilla de texto que interpola el nombre, la ubicación, el nivel de suscripción y el historial del chat. El modelo llama entonces a su propia herramienta de navegación para cargar esa URL, y los datos viajan en los parámetros de consulta.
Al final no ocurre nada exótico. Una herramienta privilegiada y conectada a internet se invoca exactamente como fue diseñada, sobre una URL montada a partir de instrucciones que llegaron por una página no confiable.
El alcance, dicho con precisión
Utevsky afirma que los prompts obtenidos en el escenario probado se limitaban a la conversación en curso, y que todo lo extraído ya estaba en el contexto del modelo.
Describe el alcance del agente como «lo que tenga en contexto o pueda obtener con sus herramientas», y añade que la empresa no probó si podía llegar a otros chats, a la memoria del agente o a otros contenidos. Ese límite sin probar queda dicho en vez de disimulado, que es la forma correcta de dejar un hueco abierto.
Qué no está establecido
El texto no reporta ninguna explotación real. Es una prueba de concepto.
La cifra del 40 % necesita su contexto para servir de algo. Adversa intentó el ataque 20 veces desde junio con una tasa de éxito del 40 %, y cuenta que los fallos vinieron de que el modelo se atascaba en el descifrado, no de que algo saltara. Eso es una tasa de éxito de laboratorio sobre veinte intentos de los propios investigadores, no un recuento de víctimas reales. La reproducción de agosto fue una sola ejecución contra Grok 4.5 Fast en el chat web.
Si ves citado por ahí un «el 40 % de los ataques tienen éxito», ese es el número, despojado de todo lo que lo hacía significar algo.
La parte que sí es nueva
La técnica es interesante. El calendario es la noticia.
xAI fue informada el 3 de junio de 2026. A fecha de la divulgación, el 20 de agosto, y en palabras del propio texto: «No hay parche, ni identificador CVE, ni solución alternativa para el usuario».
Dos meses y medio, una vía reconocida de exfiltración de datos, y nada que un usuario pueda desactivar. Ponlo al lado del informe de incidente que el AI Security Institute publicó a principios de este mismo mes, donde una organización de evaluación publicó sus propios hallazgos incómodos al completo, con las condiciones que los hicieron posibles. Mismo campo, mismo mes, posturas opuestas.
Ese contraste vale más que cualquiera de las dos historias por separado. La práctica de divulgación no es un detalle técnico; es lo único que separa el hallazgo de un investigador de la exposición de un usuario.
Qué hacer con esto
Si tu equipo usa asistentes con navegación y ejecución de código activadas, la combinación es la superficie de riesgo, no cada capacidad por su cuenta. Este ataque necesita las dos: algo que descargue la página y algo que ejecute el descifrado.
Trata «resúmeme esta página» como una acción que mete contenido no confiable en un contexto donde está tu sesión. Eso vale con cualquier proveedor, y es la frase que hay que repetirle a quien dé por hecho que leer es pasivo.
Y cuando la respuesta de un fabricante a un fallo comunicado es el silencio, eso también es información sobre el producto, además de sobre el fallo.
Fuentes
- The Hacker News, «New Cryptographic Context Injection Attack Could Let Web Pages Steal Grok Chat Data», 20 de agosto de 2026: https://thehackernews.com/2026/08/new-cryptographic-context-injection.html (consultado el 26 de agosto de 2026). Origen de la descripción de la técnica y su mecanismo, las citas de Utevsky, la versión probada y la fecha de reproducción, la cifra de laboratorio de 20 intentos y 40 %, las categorías de datos extraídos, los límites de alcance sin probar, la fecha de comunicación del 3 de junio de 2026, y la afirmación de que no existe parche, CVE ni solución alternativa y de que no se reporta explotación real. El texto existe únicamente en inglés: las citas de este artículo son traducción propia del original, no citas literales en español.
