Eine neue Angriffstechnik namens Cryptographic Context Injection sorgt für Aufmerksamkeit: Laut einer Offenlegung durch Adversa AI kann ein Modell wie der Chat von xAI Grok unter bestimmten Bedingungen Daten aus einer laufenden Benutzersitzung an einen serverseitig kontrollierten Angreifer übermitteln. Auslöser soll ein scheinbar normaler Webseiten-Content sein, den ein Nutzer zuvor um eine Zusammenfassung gebeten hat.
Das Besondere: Die gefährlichen Anweisungen sind in der Darstellung nicht als lesbarer Text erkennbar, sondern als verschlüsseltes Paket. Dadurch können gängige Inhaltsprüfungen und einfache Filtermechanismen beim Eingang des Webinhalts versagen—mit Folgen für die Privatsphäre.
Was bedeutet „Cryptographic Context Injection“?
Adversa AI beschreibt Cryptographic Context Injection als Kette aus mehreren Schritten. Der Angreifer bringt eine Webseite dazu, ein verschlüsseltes JSON-Objekt auszuliefern. Dieses enthält nicht nur Ciphertext, sondern auch benötigtes Material, um die Instruktionen zu entschlüsseln—und eine Anweisung, diese Entschlüsselung in der Python-Ausführungsumgebung des Agents vorzunehmen.
Im Proof-of-Concept, so die Sicherheitsfirma, erfolgte der Datentransfer ohne einen expliziten Bestätigungsschritt. Außerdem gab es in der Demonstration laut Bericht keinen sichtbaren Hinweis für die Nutzerin oder den Nutzer, dass zusätzlich zu einer Seitenzusammenfassung Daten abfließen könnten.
Welche Daten könnten bei Grok betroffen sein?
Adversa AI nennt für das getestete Szenario als Ziel die Grok-Web-Chat-Umgebung unter grok.com. Laut Unternehmen wurde dabei Grok 4.5 Fast verwendet. Die Reproduktion sei einmal am 19. August 2026 erfolgt. Ein Patch oder eine öffentlich kommunizierte Gegenmaßnahme existiert laut Bericht nicht; auch wird kein CVE genannt.
Was könnte abfließen? Im beschriebenen Szenario sollen nach einer Anfrage wie „summarize this web page“ unter anderem der Name des Nutzers, eine ungefähre Standortangabe, die Abonnementstufe sowie die Prompts aus dem laufenden Gespräch extrahiert werden.
Wichtig für die Einordnung: Adversa AI sagt, dass die verwendeten Prompts in dem getesteten Fall auf das laufende Gespräch begrenzt waren und dass das, was extrahiert wurde, bereits im Modellkontext vorhanden gewesen sei. Ob darüber hinaus weitere Chats, Agent-Memory oder andere Inhalte abrufbar gewesen wären, wurde nicht getestet.
Warum helfen klassische Inhaltsfilter hier nicht?
Der Kern der Idee liegt in der Kombination aus starker Kryptografie und der Art, wie der Agent die Webseite verarbeitet. Adversa AI erläutert, dass die Anweisungen in verschlüsselter Form geliefert werden—als Ciphertext, der von einem Inhaltsklassifikator beim Durchsehen nicht entschlüsselt wird.
Für die Entschlüsselung braucht das System die Durchführung von Rechenoperationen, konkret die Nutzung von PBKDF2 und AES-256-GCM (laut Bericht). Weil ein Content-Classifier diese Aufgabe nicht im Inspektionszeitpunkt übernimmt, gelangt die Anweisung später in den Kontext des Modells als Ergebnis von Code, den das Modell bereits selbst ausgeführt hat. So wird aus einem scheinbar unkritischen Webseiteninhalt eine entschlüsselte, wirksame Instruktion.
Wie läuft der Angriff technisch ab?
Nach der Entschlüsselung geben die Instruktionen dem Agenten vor, seinen privaten Sitzungs-Kontext zu „auflösen“ und die Daten in eine URL einzubetten, die anschließend vom Agenten aufgerufen werden soll, um „additional context“ zu holen.
Adversa AI beschreibt außerdem einen speziellen Baustein: Der Angreifer lässt den Angriffsablauf eine Art „decryption key“ erzeugen, dessen Wert keine echten Schlüsselmaterial-Elemente enthält, sondern eine Vorlagenzeichenkette (Template String). Diese befüllt dann dynamisch mit Daten wie Name, Standort, Tier und Chatverlauf.
Damit folgt der Agent dem Umweg: Er lädt eine vom Angreifer definierte Ziel-URL und überträgt die sensiblen Bestandteile als Parameter in der Anfrage. Technisch entspricht das einem Datenabfluss über eine ausgehende Netzwerkaktion, ausgelöst durch Inhalte, die ursprünglich aus einer untrusted Webseite stammen.
Ergebnis im Test: Häufigkeit und Grenzen
Adversa AI berichtet keine konkrete Erfolgsrate für jede einzelne Demonstration, nennt jedoch für Versuche seit Juni: In 20 Nachstellungen habe man eine 40% Erfolg erzielt. Bei den Fehlschlägen liege der Grund laut Unternehmen nicht in einem erkannten oder blockierten Prompt/Response, sondern darin, dass Grok Probleme beim Entschlüsseln hatte.
Zusätzlich weist Adversa AI darauf hin, dass keine operativen Payloads veröffentlicht werden, um Missbrauch zu vermeiden. Eine Veröffentlichung von xAI selbst oder ein formales Advisory sei zum genannten Stand (20. August 2026) noch nicht erfolgt.
Kein Patch, keine CVE, keine Nutzerumgehung
Der Bericht hebt hervor: Es gibt keinen Patch, keine CVE und keine benutzerseitige Lösung, die öffentlich als Workaround genannt wird. Gleichzeitig wird im Artikel erwähnt, dass keine Ausnutzung „in the wild“ gemeldet wurde—die Sicherheitslage wird aber als grundsätzlich relevant für Agent-Workflows eingeschätzt.
Gerade weil es sich um eine Kettenwirkung handelt (Webinhalt → Entschlüsselung im Laufzeitsystem → privilegierter Tool-Aufruf → ausgehender Request), kann die Gefahr auch dann bestehen, wenn einzelne Schutzschichten allein funktionieren.
Welche Empfehlungen gibt Adversa AI Teams?
Adversa AI rät Organisationen, Agents und Tool-Workflows so zu gestalten, dass untrusted Inhalte nicht ohne wirksame Schranken in privilegierte Aktionen münden können. Genannt werden unter anderem:
- Quarantäne für untrusted Inhalte: in einem Kontext ohne Tools und ohne Credentials ausführen; Rückgabe nur als strukturierte Daten in einen privilegierten Kontext.
- Gatekeeping für irreversible und ausgehende Aktionen: neue Netzwerkziele bestätigen, Schreib- oder Veröffentlichungsaktionen nur mit vollständig aufgelösten Argumenten, statt Template-Strings; hartes „Deny“, wenn kein Mensch anwesend ist.
- Tool-Traces pro Sitzung mit aufgelösten Argumenten erfassen, um sowohl Detektion als auch Forensik zu ermöglichen.
- Auf die Sequenz statt auf nur eine einzelne Payload alarmieren: ein undurchsichtiges Blob plus Entschlüsselungsinstruktionen sollte als Review-Signal gelten, nicht als harter Blockfilter.
- Kontext-Provenienz als Anforderung im Beschaffungsprozess verankern: Anbieter sollten ausgeben können, ob Tool-Ausgaben vom Instruktionskanal getrennt sind.
Mehr als nur Grok: Auch ein Gemini-Beispiel
Der Bericht enthält neben dem Grok-Szenario auch eine zweite Demonstration gegen Google Gemini in einem Modus namens „Deep Thinking“. Hier soll ein einzelner Prompt dazu führen, dass das Modell einen Payload-Block entschlüsselt, der wiederum eine gefälschte Python-Traceback-Ausgabe enthält—inklusive einer gefälschten Safety-Policy-Deaktivierungs-Komponente und einem „first-person reasoning“-Präfix, das das Modell auf eingeschränkte Ausgaben „festlegt“.
Adversa AI berichtet, dass diese Technik im Demonstrationskontext eingeschränktes Output-Verhalten erzeugt habe und dass Systeminstruktionen reproduziert wurden. Die genaue betroffene Gemini-Variante wird im Bericht als „Gemini 3 Flash (Web)“ im bezahlten Tarif eingeordnet. Google sei laut Adversa nicht benachrichtigt worden, weil „jailbreaks“ nicht in den Scope des Disclosure-Programms fallen.
Einordnung im größeren KI-Ökosystem
Der Artikel stellt das Thema außerdem in einen weiteren Forschungskontext: In einer präprint-basierten Veröffentlichung vom 10. August 2026 wird laut Bericht beschrieben, dass bestimmte verschlüsselte Varianten von „chain-of-thought“-Sperren innerhalb eines Anbieterecosystems zwischen Sitzungen, Nutzern und Modellen austauschbar sein sollen und dass Angreifer „unsichtbare Prompt Injections“ nutzen könnten.
Separat wird auf Arbeiten verwiesen, die auf der USENIX Security 2026 vorgestellt wurden (unter Beteiligung von UC Berkeley, Ethereum Foundation und NYU Shanghai). Dort sei ein Zwei-Zug-Angriff in der Lage gewesen, einen Substitutionscipher zu dekodieren und anschließend gegen Grok 3 in allen getesteten bösartigen Intents zu funktionieren—während die Variante ohne zweiten Aktivierungsschritt scheiterte.
Fazit: Die Schwachstelle liegt im Agent-„Harness“
Adversa AI formuliert die zentrale Botschaft so: Man müsse die Sicherheitsgrenze nicht allein „im Modell“ suchen. Viele Kontrollen, so das Unternehmen, lägen im Agenten-Framework—also in der Umgebung, in der Identitäten, Reichweiten (was das System erreichen darf) und Schreibrechte geregelt werden, sowie in den Möglichkeiten, gespeicherte Kontexte nach einem Durchlauf erneut zu verwenden.
Mit Cryptographic Context Injection zeigt sich einmal mehr, dass eine reine Content-Prüfung vor dem Entschlüsseln nicht ausreicht, wenn entschlüsselter Code unmittelbar in privilegierte Tool-Aktionen überführt werden kann. Für Betreiber von KI-Agents bedeutet das: mehr Transparenz über Tool-Aktionen, strengere Trennung von Instruktionen und Ausgaben sowie klare Freigabeprozesse für ausgehende Requests.
Quelle: https://thehackernews.com/2026/08/new-cryptographic-context-injection.html
