Demander à un assistant de résumer une page web. C’est toute l’action de l’utilisateur dans cette attaque.
Le 20 août 2026, Adversa AI a rendu publique une technique qu’elle appelle injection de contexte cryptographique et qui, selon elle, peut amener Grok, de xAI, à envoyer le nom d’un utilisateur, sa localisation approximative, son niveau d’abonnement et les prompts de la conversation en cours vers un serveur contrôlé par l’attaquant. Dans la démonstration, le transfert « s’est achevé sans étape de confirmation et sans avertissement visible ».
Pourquoi un filtre de contenu ne peut pas le voir
L’attaque ne cache pas les instructions dans une formulation habile. Elle les cache dans du texte chiffré.
La page porte un objet JSON chiffré, le matériau de la clé et une instruction pour le déchiffrer. Retrouver le texte en clair exige d’exécuter PBKDF2 et AES-256-GCM, ce que le modèle fait dans son propre environnement d’exécution Python. Un classifieur de contenu qui inspecte la page téléchargée voit des octets chiffrés, parce qu’un classifieur n’exécute pas de fonctions cryptographiques au moment de l’inspection.
Le résultat est un contournement par l’architecture plutôt que par la formulation : les instructions atteignent le contexte du modèle en tant que sortie d’un code que le modèle vient d’exécuter, et non en tant que contenu web téléchargé.
Le chercheur principal d’Adversa, Rony Utevsky, expose le raisonnement sans détour : « Un chiffrement fort ne peut être lu par un classifieur de contenu ni court-circuité dans les poids, il force donc la récupération par l’environnement d’exécution dont dépend l’attaque. » Il marque aussi la limite de cette affirmation, ce qui est d’une rigueur peu courante dans une divulgation : « Savoir si un encodage plus faible contournerait également les filtres propres à une cible donnée est une question empirique. »
Ce qui se passe après le déchiffrement
Les instructions récupérées disent à l’assistant de rassembler le contexte de sa propre session et de le placer dans une URL qu’on lui demande d’ouvrir afin d’« obtenir du contexte supplémentaire ».
Une étape de la chaîne mérite d’être décrite, parce qu’elle montre à quel point le déguisement est ordinaire. On demande au modèle de construire une « clé de déchiffrement » supplémentaire qui n’est pas du matériau de clé du tout : sa valeur est un gabarit de texte qui interpole le nom, la localisation, le niveau d’abonnement et l’historique de conversation. Le modèle appelle alors son propre outil de navigation pour charger cette URL, et les données voyagent dans les paramètres de requête.
Rien d’exotique n’arrive au bout. Un outil privilégié et connecté à Internet est appelé exactement comme il a été conçu, sur une URL assemblée à partir d’instructions arrivées par une page non fiable.
La portée, énoncée avec précision
Utevsky indique que les prompts récupérés dans le scénario testé se limitaient à la conversation en cours, et que tout ce qui a été extrait se trouvait déjà dans le contexte du modèle.
Il décrit la portée de l’agent comme « ce qu’il détient en contexte ou peut aller chercher avec ses outils », et ajoute que l’entreprise n’a pas testé s’il pouvait atteindre d’autres conversations, la mémoire de l’agent ou d’autres contenus. Cette limite non testée est énoncée plutôt que masquée, ce qui est la bonne façon de laisser une lacune ouverte.
Ce qui n’est pas établi
Le texte ne rapporte aucune exploitation réelle. C’est une preuve de concept.
Le chiffre de 40 % a besoin de son contexte pour servir à quelque chose. Adversa a tenté l’attaque 20 fois depuis juin avec un taux de réussite de 40 %, et rapporte que les échecs venaient du modèle qui butait sur le déchiffrement, non d’un déclenchement d’alerte. C’est un taux de réussite de laboratoire sur vingt tentatives des chercheurs eux-mêmes, pas un décompte de victimes réelles. La reproduction d’août était une exécution unique contre Grok 4.5 Fast dans le chat web.
Si vous voyez citer quelque part « 40 % des attaques réussissent », c’est ce chiffre, dépouillé de tout ce qui lui donnait un sens.
La partie réellement nouvelle
La technique est intéressante. L’information, c’est le calendrier.
xAI a été informée le 3 juin 2026. À la date de la divulgation, le 20 août, et dans les termes du texte lui-même : « Il n’y a pas de correctif, pas d’identifiant CVE et aucun contournement côté utilisateur. »
Deux mois et demi, une voie d’exfiltration de données reconnue, et rien qu’un utilisateur puisse désactiver. Placez cela à côté du rapport d’incident publié plus tôt le même mois par l’AI Security Institute, où un organisme d’évaluation a publié intégralement ses propres constats peu flatteurs, avec les conditions qui les ont rendus possibles. Même domaine, même mois, postures opposées.
Ce contraste vaut plus que chacune des deux histoires prise seule. La pratique de divulgation n’est pas un détail technique ; c’est la seule chose qui sépare la découverte d’un chercheur de l’exposition d’un utilisateur.
Quoi en faire
Si votre équipe utilise des assistants avec navigation et exécution de code activées, la combinaison est la surface de risque, pas l’une ou l’autre capacité isolément. Cette attaque a besoin des deux : quelque chose qui télécharge la page, et quelque chose qui exécute le déchiffrement.
Traitez « résume-moi cette page » comme une action qui fait entrer un contenu non fiable dans un contexte où se trouve votre session. C’est vrai quel que soit le fournisseur, et c’est la phrase à répéter à quiconque suppose que lire est passif.
Et quand la réponse d’un éditeur à une faille signalée est le silence, cela renseigne sur le produit autant que sur la faille.
Sources
- The Hacker News, « New Cryptographic Context Injection Attack Could Let Web Pages Steal Grok Chat Data », 20 août 2026 : https://thehackernews.com/2026/08/new-cryptographic-context-injection.html (consulté le 26 août 2026). Origine de la description de la technique et de son mécanisme, des citations d’Utevsky, de la version testée et de la date de reproduction, du chiffre de laboratoire de 20 tentatives et 40 %, des catégories de données extraites, des limites de portée non testées, de la date de signalement du 3 juin 2026, et de l’affirmation qu’il n’existe ni correctif, ni CVE, ni contournement et qu’aucune exploitation réelle n’est rapportée. Le texte n’existe qu’en anglais : les citations de cet article sont une traduction propre de l’original, non des citations littérales en français.
