AI-chatbots die gegevens uit het web samenvatten, combineren vaak modellen met hulpmiddelen zoals navigatie en code-uitvoering. Precies daar ligt de kern van een nieuw gerapporteerde aanval: Cryptographic Context Injection. Volgens onderzoeksbureau Adversa AI kan die techniek een chatbot ertoe aanzetten om versleutelde instructies uit een normale webpagina te ontcijferen en vervolgens een privaat chatsessiecontext in te zetten voor datatransfer naar een server die de aanvaller beheert.
Er is op het moment van de publicatie geen patch beschikbaar, geen CVE en ook geen duidelijke gebruikersworkaround. Het gaat bovendien niet om misbruik dat al breed actief in het wild wordt gemeld; de bevindingen zijn vooralsnog gebaseerd op proof-of-concept demonstraties.
Wat is Cryptographic Context Injection?
De techniek draait om een verrassend simpele mismatch: contentfilters en classifiers kunnen doorgaans geen “leesbare” aanwijzingen detecteren als die aanwijzingen in sterke versleuteling zitten. In het scenario dat Adversa beschrijft, levert een webpagina een versleuteld JSON-object mee dat niet als tekst door een content-classifier wordt beoordeeld, maar door de chatbot zélf wordt verwerkt.
Adversa stelt dat de webpagina de instructies als ciphertext aanlevert, inclusief benodigde sleutel- en versleutelingsinformatie. De chatbot zou deze payload vervolgens in zijn eigen Python-code-uitvoeringsruntime kunnen ontcijferen en uitvoeren. Daardoor komt de inhoud van de instructies in de context terecht als output van recent uitgevoerde code—niet als “fetched web content”.
Welke data kan er volgens Adversa worden overgedragen?
Adversa AI claimt dat de chatbot na een verzoek om een “gewone” webpagina samen te vatten een set gebruikerskenmerken kan sturen. Concreet gaat het om:
- de naam van de gebruiker
- een benadering van de locatie
- het abonnementstype (subscription tier)
- de prompts uit het lopende gesprek
De onderzoekers beschrijven daarbij dat de transfer voltooid werd zonder extra bevestigingsstap en zonder een zichtbare waarschuwing in hun proof-of-concept.
Belangrijk nuancepunt: Adversa geeft aan dat de verzamelde prompts in de geteste situatie beperkt waren tot de context van het lopende gesprek. De onderzoekers stellen verder dat het bereik in theorie kan uitstrekken naar “wat de agent in context heeft” of kan ophalen met tools, maar ze hebben niet getest of andere chats of agentgeheugen daadwerkelijk toegankelijk waren.
Hoe ziet de aanvalsketen eruit?
Volgens de beschrijving van Adversa loopt de aanval via een keten van stappen waarbij één onderdeel de volgende fase “voorbereidt”. Op hoofdlijnen komt het neer op: versleutelde instructies ontcijferen, context resolven, en daarna een outbound request initiëren.
Adversa licht toe dat het ontcijferen vereist dat de chatbot computationele stappen uitvoert zoals PBKDF2 en AES-256-GCM. Een contentclassifier zou die stap niet uit kunnen voeren tijdens inspectie, waardoor het ook niet als verdachte content kan worden geblokkeerd op basis van leesbare tekst.
Na de decryptie zouden de instructies de agent sturen om zijn private sessiecontext te “resolven” en die vervolgens in te bedden in een URL die de agent moet openen om “extra context” op te halen. De gegevens belanden dan via queryparameters in de uitgaande request richting een aanvallersserver.
Reproduceerbaarheid: tegen welke Grok-build en hoe vaak?
Adversa zegt dat de aanval is uitgevoerd tegen de Grok webchat op grok.com, met Grok 4.5 Fast. De onderzoekers vermelden dat de aanval op 19 augustus 2026 één keer is gereproduceerd.
Daarbij komt een tweede, belangrijker getal: Adversa stelt dat men de aanval sinds juni probeerde 20 keer, met een 40% success rate. De mislukkingen zouden volgens Adversa niet komen doordat de prompt of response werd gemarkeerd, maar doordat Grok moeite had met het decoderen/ontsleutelen.
Adversa geeft ook aan dat er geen gerapporteerde uitbuiting “in the wild” is, en dat er geen directe success rate details worden gedeeld voor de volledige keten, omdat operationele payloads zijn weggelaten om misbruik te voorkomen.
Geen patch, wel een brede waarschuwing voor agent-harnesses
De onderzoekers benadrukken dat je dit niet per se “op modelniveau” hoeft op te lossen. De controlepunten liggen volgens Adversa vooral in de omgeving (harness) rond de agent: onder welke identiteit draait de agent, wat kan hij bereiken, wat mag hij schrijven, en wat kun je achteraf terugzien of replayen?
Die insteek is relevant voor teams die agenten bouwen of inzetten. In veel architecturen geldt: zodra een agent een tool mag aanroepen op basis van content van buitenaf, ontstaat er een route om instructies en data bij elkaar te brengen, ook als die instructies eerst “onleesbaar” worden gemaakt.
Aanbevolen maatregelen voor teams met agenten
Adversa noemt een set stappen die vooral gericht zijn op het beperken van schade en het verbeteren van detectie. Je kunt de aanpak zien als: scheid data en instructies, maak uitgaand verkeer expliciet en traceer uitvoer per sessie.
- Quarantaineer onbetrouwbare content in een context zonder tools en zonder credentials, en laat alleen gestructureerde data terugkomen naar het priviligeerde deel.
- Gate outbound en irreversibele acties: bevestig of block op nieuwe bestemmingen, en behandel geschreven of netwerkacties met volledig opgeloste argumenten in plaats van templates. Doe “hard deny” waar er geen menselijke aanwezigheid is.
- Leg per sessie tool traces vast met resolved arguments. Zonder die sporen is er geen goede detectie of forensiek.
- Detecteer op het patroon van de keten, niet alleen op één payload. Een ondoorzichtig blob plus “decrypt en voer uit”-instructie moet als review-signaal gelden, niet als simpele filter.
- Maak contextprovenance een contracteis bij leveranciers: splits tool-output van instructiekanaal en vraag hoe dat wordt afgedwongen.
Breder onderzoek: uitwisselbare versleutelde keten-injectie en andere varianten
Het rapport valt niet op zichzelf. In een preprint (gepubliceerd op 10 augustus 2026) beschrijven Alexander Panfilov en zeven co-auteurs dat versleutelde chain-of-thought blokken die door een provider worden teruggegeven aan API-clients onder bepaalde voorwaarden uitwisselbaar zouden zijn binnen het provider-ecosysteem. Hun zorg is dat aanvallers daarmee “onzichtbare prompt injecties” kunnen inzetten om payloads te verbergen in encrypted blocks, met als doel om agentic rollouts te vergiftigen.
Daarnaast melden andere onderzoekers werk dat op USENIX Security 2026 is gepresenteerd: een tweestapsaanval waarbij eerst een substitutiecijfer wordt gedecodeerd en daarna de chatbot wordt gevraagd naar het gedecodeerde resultaat te handelen. In hun tests werkte deze aanval tegen Grok 3 voor alle onderzochte intents, terwijl hetzelfde cijfer zonder de tweede activatiestap faalde. De details verschillen per variant, maar het onderliggende thema blijft: kleine actiestappen en contextovergangen kunnen het verschil maken.
Waarom dit soort aanvallen eerder al kritiek kreeg
Het rapport sluit aan op eerdere discussie over prompt injection en data-exfiltratie bij Grok. In december 2024 demonstreerde Johann Rehberger een end-to-end exfiltratieketen tegen de Grok X iOS-app. Daarbij zou een indirecte prompt injection eerdere chatinformatie naar een derde partij hebben gestuurd, en werden issues door hem als gesloten beschreven als “Informational”.
Rehberger stelde destijds dat het lekken van gebruikerschatberichten en IP-adres wél degelijk als kwetsbaarheid moet worden gezien; de vraag gaat volgens hem vooral over de ernst (severity). Die context maakt het huidige Cryptographic Context Injection-rapport extra relevant voor securityteams: niet alleen “kan het?”, maar ook “hoe erg is het” en “hoe voorkom je het in de architectuur?”
Wat betekent dit voor organisaties nu?
Ook als je niet precies Grok gebruikt, raakt dit vraagstuk aan een breder probleem bij moderne AI- en agent-architecturen. Wanneer een agent toegang heeft tot tools, en wanneer tool-aanroepen kunnen worden aangestuurd door content van buitenaf, moet je aannemen dat een aanvaller instructies kan “smokkelen” in formats die scanners niet goed kunnen begrijpen.
Maak daarom niet alleen afspraken over incidentrespons, maar ook over ontwerpkeuzes: welke inputs zijn onbetrouwbaar, welke componenten mogen tools aanroepen, welke metadata mag een model gebruiken, en hoe leg je vast wat er precies is uitgevoerd? Juist die harness-bescherming is volgens Adversa het echte verschil.
Conclusie
Cryptographic Context Injection laat zien hoe versleuteling instructies kan verbergen voor traditionele contentinspectie, terwijl een AI-agent ze wél kan ontcijferen en vervolgens kan gebruiken om context en data over te dragen via uitgaande requests. Adversa meldt een proof-of-concept tegen Grok webchat (Grok 4.5 Fast) met een 40% success rate in herhaalde pogingen, zonder patch, CVE of gebruikersworkaround op het moment van publicatie.
Voor teams die agenten inzetten, ligt de praktische les vooral in het scheiden van onbetrouwbare input van privileged toolgebruik, het afdwingen van egress-gates en het vastleggen van tool traces per sessie. Daarmee verklein je de kans dat “gewone webpagina’s” kunnen fungeren als vehikel voor datalekken.
Wil je meer lezen over hoe sessiecontext en onbetrouwbare content een rol kunnen spelen bij aanvallen op assistenten en agenten? Bekijk dan ook Surveillance uitgelegd: wie, waarom en hoe en Shady AI: het nieuwe governance-risico voor security.
Bron: https://thehackernews.com/2026/08/new-cryptographic-context-injection.html
