Els assistents d'IA que poden navegar per pàgines web i executar codi en un entorn propi (un «sandbox») amplien molt la seva utilitat, però també obren una nova via d'atac: la injecció d'instruccions amagades en el contingut que l'assistent processa. Fins ara, la defensa habitual consistia a fer que un filtre estàtic escanegi aquest contingut a la recerca de text sospitós abans que arribi al model.
L'empresa de seguretat Adversa AI, a través de l'investigador Rony Utevsky, va fer públic el 20 d'agost una tècnica que esquiva aquesta defensa: la «injecció criptogràfica de context». Un atacant amaga a una pàgina web un missatge xifrat amb AES-256-GCM i una clau derivada amb PBKDF2; com que el text és il·legible, els filtres estàtics el deixen passar sense detectar-hi cap ordre. Quan un usuari demana a Grok, l'assistent de xAI, que resumeixi aquella pàgina, el mateix entorn de codi Python de Grok desxifra el missatge —i, en fer-ho des de dins, el tracta com a informació interna de confiança en lloc de contingut extern sospitós—, seguint llavors les instruccions amagades per extreure l'historial complet de converses de l'usuari, el seu nom, la seva ubicació aproximada i el seu tipus de subscripció, i enviar-ho a un servidor de l'atacant. Segons Adversa AI, «l'exfiltració es completa sense cap confirmació de l'usuari i sense cap avís visible, un resultat de veritat de zero clics» a partir d'una petició tan senzilla com «resumeix aquesta pàgina». Els investigadors ho van notificar a xAI el 3 de juny de 2026 i, segons el seu informe, l'atac encara era reproduïble el 19 d'agost; una tècnica similar afecta Gemini de Google, tot i que en aquest cas la taxa d'èxit ha baixat des de l'agost sense que els investigadors puguin confirmar si es deu a un canvi de filtres o de model.
El cas és rellevant perquè mostra que n'hi ha prou de xifrar una càrrega maliciosa perquè passi per davant de les defenses actuals contra la injecció d'instruccions, dissenyades per detectar text sospitós en clar, no per detectar que un mateix assistent desxifri i «cregui» contingut que ell mateix ha desencriptat. Per a assistents cada cop més capaços de navegar i executar codi, l'incident planteja que l'entorn d'execució pensat per ampliar les seves capacitats es pot convertir també en còmplice involuntari per saltar-se les seves pròpies mesures de seguretat.
Adversa AI ha demostrat la tècnica com a prova de concepte i ha retingut la càrrega operativa completa del seu informe públic per no facilitar-ne la reproducció maliciosa; no hi ha, de moment, cap xifra pública de quants usuaris reals podrien haver-hi estat exposats fora de les proves controlades dels investigadors. xAI no ha confirmat cap calendari de correcció, i tampoc s'ha aclarit del tot per què l'atac funciona amb una taxa d'èxit més baixa contra Gemini.