Chiedere a un assistente di riassumerti una pagina web. È tutta qui l’azione dell’utente in questo attacco.
Il 20 agosto 2026 Adversa AI ha reso nota una tecnica che chiama iniezione di contesto crittografica e che, a suo dire, può portare Grok di xAI a inviare il nome di un utente, la sua posizione approssimativa, il livello di abbonamento e i prompt della conversazione in corso a un server controllato dall’attaccante. Nella dimostrazione il trasferimento «si è completato senza passaggio di conferma e senza avviso visibile».
Perché un filtro di contenuto non riesce a vederlo
L’attacco non nasconde le istruzioni in una formulazione astuta. Le nasconde in testo cifrato.
La pagina porta un oggetto JSON cifrato, il materiale della chiave e un’istruzione per decifrarlo. Recuperare il testo in chiaro richiede di eseguire PBKDF2 e AES-256-GCM, cosa che il modello fa nel proprio ambiente di esecuzione Python. Un classificatore di contenuto che ispeziona la pagina scaricata vede byte cifrati, perché un classificatore non esegue funzioni crittografiche al momento dell’ispezione.
Il risultato è un aggiramento per architettura e non per formulazione: le istruzioni arrivano nel contesto del modello come output di codice che il modello ha appena eseguito, non come contenuto web scaricato.
Il ricercatore capo di Adversa, Rony Utevsky, espone il ragionamento senza giri di parole: «Una cifratura forte non può essere letta da un classificatore di contenuto né scorciata dentro i pesi, quindi costringe il recupero attraverso l’ambiente di esecuzione da cui l’attacco dipende.» Segnala anche il limite di quell’affermazione, cosa insolitamente scrupolosa in una divulgazione: «Se una codifica più debole aggirerebbe anche i filtri specifici di un dato bersaglio è una questione empirica.»
Cosa succede dopo la decifratura
Le istruzioni recuperate dicono all’assistente di raccogliere il contesto della propria sessione e di infilarlo in una URL, che gli viene detto di aprire per «recuperare contesto aggiuntivo».
Un passaggio della catena merita di essere descritto, perché mostra quanto sia ordinario il travestimento. Al modello viene chiesto di costruire una «chiave di decifratura» aggiuntiva che non è affatto materiale di chiave: il suo valore è un modello di testo che interpola nome, posizione, livello di abbonamento e cronologia della chat. Il modello chiama poi il proprio strumento di navigazione per caricare quella URL, e i dati viaggiano nei parametri della query.
Alla fine non succede nulla di esotico. Uno strumento privilegiato e connesso a internet viene invocato esattamente come è stato progettato, su una URL messa insieme a partire da istruzioni arrivate da una pagina non affidabile.
La portata, detta con precisione
Utevsky dice che i prompt ottenuti nello scenario provato si limitavano alla conversazione in corso, e che tutto ciò che è stato estratto era già nel contesto del modello.
Descrive la portata dell’agente come «quello che tiene in contesto o può recuperare con i suoi strumenti», e aggiunge che l’azienda non ha provato se potesse arrivare ad altre chat, alla memoria dell’agente o ad altri contenuti. Quel limite non provato viene detto invece che mascherato, ed è il modo corretto di lasciare aperta una lacuna.
Cosa non è stabilito
Il testo non riporta alcuno sfruttamento reale. È una prova di concetto.
Il dato del 40 % ha bisogno del suo contesto per servire a qualcosa. Adversa ha tentato l’attacco 20 volte da giugno con un tasso di successo del 40 %, e racconta che i fallimenti venivano dal modello che si impantanava nella decifratura, non da qualcosa che scattava. È un tasso di successo di laboratorio su venti tentativi dei ricercatori stessi, non un conteggio di vittime reali. La riproduzione di agosto è stata una singola esecuzione contro Grok 4.5 Fast nella chat web.
Se ti capita di vedere citato «il 40 % degli attacchi riesce», quello è il numero, spogliato di tutto ciò che lo rendeva significativo.
La parte che è davvero nuova
La tecnica è interessante. La notizia è il calendario.
xAI è stata informata il 3 giugno 2026. Alla data della divulgazione, il 20 agosto, e con le parole del testo stesso: «Non c’è patch, non c’è identificativo CVE e non c’è alcun rimedio lato utente.»
Due mesi e mezzo, una via di esfiltrazione di dati riconosciuta, e niente che un utente possa disattivare. Mettilo accanto al report di incidente pubblicato all’inizio dello stesso mese dall’AI Security Institute, dove un ente di valutazione ha pubblicato per intero i propri risultati poco lusinghieri, con le condizioni che li hanno resi possibili. Stesso campo, stesso mese, posture opposte.
Quel contrasto vale più di ciascuna delle due storie presa da sola. La prassi di divulgazione non è un dettaglio tecnico; è l’unica cosa che separa la scoperta di un ricercatore dall’esposizione di un utente.
Cosa farne
Se il tuo team usa assistenti con navigazione ed esecuzione di codice attive, la combinazione è la superficie di rischio, non la singola capacità. Questo attacco ha bisogno di entrambe: qualcosa che scarichi la pagina e qualcosa che esegua la decifratura.
Tratta «riassumimi questa pagina» come un’azione che porta contenuto non affidabile dentro un contesto in cui c’è la tua sessione. Vale con qualsiasi fornitore, ed è la frase da ripetere a chi dà per scontato che leggere sia passivo.
E quando la risposta di un produttore a un difetto segnalato è il silenzio, quella è un’informazione sul prodotto oltre che sul difetto.
Fonti
- The Hacker News, «New Cryptographic Context Injection Attack Could Let Web Pages Steal Grok Chat Data», 20 agosto 2026: https://thehackernews.com/2026/08/new-cryptographic-context-injection.html (consultato il 26 agosto 2026). Origine della descrizione della tecnica e del suo meccanismo, delle citazioni di Utevsky, della versione provata e della data di riproduzione, del dato di laboratorio di 20 tentativi e 40 %, delle categorie di dati estratti, dei limiti di portata non provati, della data di segnalazione del 3 giugno 2026, e dell’affermazione che non esistono patch, CVE o rimedio e che non viene riportato alcuno sfruttamento reale. Il testo esiste solo in inglese: le citazioni di questo articolo sono traduzione propria dall’originale, non citazioni letterali in italiano.
