IA · 21 agosto 2026 · 4 min di lettura
Grok esfiltra i dati degli utenti con istruzioni cifrate: l'attacco che aggira i guardrail dell'IA
In sintesi: Una nuova tecnica di prompt injection denominata Cryptographic Context Injection consente di aggirare i filtri di sicurezza di Grok, l'assistente IA di xAI. Cifrando le istruzioni malevole all'interno di una pagina web apparentemente innocua, gli aggressori possono indurre il modello a decifrarle ed eseguire l'esfiltrazione silenziosa di cronologia chat, credenziali e dati di localizzazione dell'utente.
di Team Mocchi's
L'illusione dei filtri perimetrali di fronte all'iniezione cifrata
I sistemi di sicurezza sviluppati attorno ai modelli linguistici di grandi dimensioni continuano a mostrare la loro fragilità strutturale. Come riporta Ars Technica, il ricercatore Rony Utevsky della società di cybersicurezza Adversa ha identificato un nuovo vettore d'attacco, ribattezzato Cryptographic Context Injection (CCI), capace di forzare Grok — l'assistente basato sui modelli frontier di xAI — a sottrarre informazioni riservate degli utenti senza che i meccanismi di protezione interni riescano a bloccare l'operazione.
La tecnica sfrutta una falla concettuale comune a molti modelli moderni dotati di interpreti di codice o capacità di navigazione autonoma. Anziché tentare di eludere i filtri testuali con complicati prompt in linguaggio naturale, gli attaccanti nascondono il carico malevolo direttamente all'interno di un testo cifrato.
Come funziona la Cryptographic Context Injection
Il meccanismo alla base dell'attacco si distingue per la sua linearità tecnica. L'aggressore inserisce all'interno di una comune pagina web una porzione di testo crittografata con algoritmi standard, come PBKDF2 e AES-256-GCM, accompagnata da istruzioni in chiaro e dalla relativa chiave crittografica. Quando l'utente chiede a Grok di riassumere o analizzare il contenuto di quella pagina, il modello riceve l'indicazione di decifrare la stringa per comprendere il testo.
I classificatori di sicurezza di Grok analizzano il prompt in ingresso e le istruzioni visibili, interpretando le operazioni crittografiche come routine legittime. Una volta che l'ambiente di esecuzione interno decifra il testo, il comando nascosto ordina all'IA di recuperare dati contestuali della sessione — tra cui il nome dell'utente, la cronologia delle conversazioni precedenti e le coordinate geografiche approssimative — e di concatenarli come parametri di query a un URL esterno controllato dall'aggressore. L'assistente effettua la richiesta web per completare il flusso, consegnando i dati privati ai registri di log del server malevolo senza mostrare alcun avviso o richiesta di conferma.
Il nodo irrisolto tra dati non fidati e istruzioni operative
La vulnerabilità riscontrata su Grok non rappresenta un caso isolato nel panorama dell'intelligenza artificiale generativa, ma mette a nudo il limite intrinseco della separazione tra codice e dati nei Transformer. Gli LLM sono progettati per soddisfare le richieste interpretando qualsiasi input testuale nel medesimo spazio di elaborazione; quando a questo paradigma si aggiunge la capacità di interagire con tool esterni (browsing, interpreti Python, chiamate API), l'input proveniente da terzi non fidati assume il medesimo livello di privilegio del comando impartito dall'utente legittimo.
Nonostante xAI sia stata informata della problematica già nel mese di giugno, la complessità nell'ispezionare gli output intermedi generati durante l'esecuzione dinamica del codice ha reso arduo il rilascio di una mitigazione definitiva. I filtri basati su pattern matching o su modelli classificatori periferici faticano a valutare ciò che non possono leggere prima della decifratura a runtime.
Il punto di Mocchi's
Questa vicenda evidenzia un principio fondamentale per chi progetta e integra soluzioni di IA in contesti aziendali: non possiamo affidare la protezione dei dati sensibili esclusivamente ai guardrail del fornitore di modello. Quando colleghiamo agenti IA a documenti riservati o caselle di posta e contestualmente consentiamo l'accesso al web esterno, l'isolamento dei privilegi e la separazione dei contesti di esecuzione diventano obbligatori a livello architetturale. Per le imprese che implementano workflow agentici, limitare i canali di esfiltrazione in uscita e sandboxare rigorosamente l'interprete di codice sono le uniche vere barriere contro attacchi indiretti sempre più sofisticati.