AI-chatbots en agenten gebruiken vaak “safety guardrails” om ongewenste prompt-inhoud te herkennen en te blokkeren. Maar onderzoekers van Adversa AI laten zien dat dat niet altijd genoeg is. Hun bevindingen draaien om Cryptographic Context Injection: een techniek waarbij versleutelde instructies binnen de vertrouwde context van het model terechtkomen, zonder dat de guardrails ze als gevaarlijk hoeven te herkennen.
Dit is niet zomaar een theoretische jailbreak. De onderzoekers beschrijven hoe aanvallers de techniek direct in chat kunnen inzetten of via een zogenaamde watering hole-aanpak, waardoor een agent onbedoeld geïnjecteerde payloads verwerkt. Hieronder lees je wat er precies gebeurt, waarom het werkt en welke verdedigingsmaatregelen je kunt overwegen.
Wat is Cryptographic Context Injection?
Bij reguliere promptverwerking scannen guardrails de tekst op risico’s. In de door Adversa AI beschreven aanpak verschuift de aanval naar versleutelde context. De guardrails classificeren prompttekst zonder die tekst daadwerkelijk uit te voeren. Ze hoeven dus geen “gevaarlijke inhoud” te begrijpen als die inhoud eerst als ciphertext is aangeleverd.
Het kernidee is dat de versleutelde payload — inclusief een instructie voor het ontsleutelen — terechtkomt in de uitvoering van het model of de sandbox-omgeving. Daar kan de ontsleutelde prompt alsnog worden teruggevonden binnen een “trusted” execution context. Op dat moment kan het model de herstelde instructies opvolgen, terwijl de guardrails de oorspronkelijke ciphertext niet als gevaarlijke inhoud hebben kunnen markeren.
De onderzoekers waarschuwen daarbij expliciet voor het verschil in geloofwaardigheid: tekst die direct geplakt wordt in een prompt krijgt doorgaans sneller een negatieve beoordeling, terwijl versleutelde data die later wordt teruggebracht als “legitieme context” kan landen.
Waarom safety guardrails hierin tekortschieten
Safety guardrails zijn ontworpen om te voorkomen dat modellen ongewenste instructies volgen. In veel systemen betekent dat: detectie en blokkade op basis van de input die de guardrails zien. De aanval op Cryptographic Context Injection gebruikt juist dat gat.
- Guardrails zien ciphertext: de inhoud die beoordeeld wordt is versleuteld, dus de “slechte” tekst is niet zichtbaar voor de filter.
- Ontsleuteling gebeurt binnen de sandbox: de decryptie-instructie wordt uitgevoerd in code-uitvoering, waardoor de echte prompt binnen het modelbereik komt.
- Resultaat is herstelde instructie: die herstelde instructie kan vervolgens leiden tot acties of output die anders geblokkeerd zouden worden.
Daarbij gaat het niet alleen om het onderdrukken van inputfilters, maar ook om het manipuleren van de route die de instructie aflegt richting tools, agent-logica of outbound communicatie.
Indirecte aanvallen: watering hole via agenten
Een belangrijk deel van het risico zit in agentische scenario’s. Adversa AI beschrijft dat aanvallers de techniek niet alleen in de chat kunnen aanbieden, maar ook indirect kunnen starten. Denk aan een watering hole: een webpagina die is voorzien van een versleuteld JSON-object plus een instructie om dat te ontcijferen.
De aanval werkt wanneer een agent wordt overtuigd om die pagina te bezoeken of te analyseren. Het agent-proces leest de pagina, neemt de ciphertext in en start vervolgens het ontsleutelproces met een runtime die beschikbaar is voor de agent (bijvoorbeeld via een ingebouwde programmeeromgeving).
Na decryptie kan de herstelde prompt instructies bevatten die de agent aanzetten tot misbruik van wat er beschikbaar is: bijvoorbeeld het benaderen van externe servers of het verzamelen en doorgeven van gegevens. In een agentcontext kan dit extra gevaarlijk zijn, omdat instructies en data uit niet-vertrouwde bronnen kunnen sturen op het gebruik van een tool die internettoegang heeft.
Voorbeeld bij Grok: zero-click datalek via webinstructies
De onderzoekers geven een concreet voorbeeld tegen de xAI Grok web chat en bijbehorende agentische browsing. In hun beschrijving is het een zero-click data-exfiltration-aanval die via social engineering kan worden gestart: de gebruiker wordt verleid om een gemanipuleerde webpagina te laten analyseren.
Die webpagina bevat volgens de onderzoekers een encrypted JSON-object en een instructie om het te ontsleutelen met de Python-runtime van de agent. De ontsleutelde prompt zou vervolgens de agent instrueren om privécontext te achterhalen en die informatie in te bedden in een URL. Vervolgens wordt die URL autonoom geladen, waardoor gebruikersdata naar de aanvaller kan worden doorgegeven.
De onderzoekers formuleren het als een probleem waarbij een framework toestaat dat instructies en data uit een externe bron leiden tot de aanroep van een geprivilegieerde, internet-verbonden tool. Daardoor kunnen privé-session metadata en gesprekshistorie in de inputs van die outbound tool terechtkomen, zonder dat de gebruiker er expliciet bij betrokken hoeft te worden.
Het is goed om te benadrukken: dit voorbeeld beschrijft een technisch mechanisme zoals de onderzoekers het rapporteren. Het algemene patroon is wat vooral relevant is voor verdediging: agenten moeten niet zonder extra checks vertrouwenswaardige acties kunnen laten sturen door inhoud van buitenaf.
Voorbeeld bij Gemini: directe injectie en “encrypt for safety”
Adversa AI beschrijft ook een aanval op de Gemini publieke chatinterface in een modus die meer rekenstappen mogelijk maakt (Deep Thinking). Het voorbeeld draait om een enkele prompt die het model laat draaien met een script om aangeleverde ciphertext te decrypten.
Door een reeks omwegen die de onderzoekers beschrijven, kan de ontsleutelde prompt het model sturen om verboden of normaal onderdrukte inhoud te produceren. Daarbij probeert de aanval het model te laten redeneren dat de gevaarlijke inhoud “voor veiligheid” wordt versleuteld, waardoor de outputfilters mogelijk worden misleid.
In hun verslag vermelden de onderzoekers dat de techniek erin slaagde om een multi-paragraph voorbeeld te leveren van content die safety filters normaal onderdrukken. Ze noemen expliciet dat de output en input guardrails worden omzeild door zowel versleutelde input (ciphertext) als de wijze waarop de inhoud wordt “ingepakt” voor verwerking en teruglevering aan de gebruiker.
Is de aanval nog succesvol? Wat de onderzoekers zagen
Op het moment van het publiceren van hun rapport geven de onderzoekers aan dat ze hun bevindingen op 3 juni 2026 aan xAI hebben gemeld. Ze probeerden vervolgens coördinatie van disclosure op 4 en 10 augustus, maar ze ontvingen geen reactie.
Ook melden ze dat de aanval toen nog succesvol was, maar dat de success rate tegen Gemini in augustus afnam. Ze weten niet zeker waardoor dat komt: mogelijk filter-updates, modelversiebeheer, of een combinatie van beide factoren.
Ondanks die daling benadrukken ze dat het risico niet verdwenen is. Als de aanvalsmethode herhaalbaar is in verschillende agent- en chatcontexten, kan een organisatie alsnog getroffen worden wanneer systemen of integraties onverhoeds worden gebruikt.
Praktische verdedigingsstappen voor teams
De onderzoekers geven in hun rapport ook advies voor verdedigers. Hoewel details per omgeving verschillen, komt het verdedigingsvraagstuk neer op twee principes: maak versleutelde instructies niet “uitvoerbaar zonder checks”, en beperk wat agenten mogen doen met data en instructies uit niet-vertrouwde bronnen.
- Voer extra beleid rond toolgebruik: sta niet toe dat instructies uit externe pagina’s of inputstromen direct leiden tot geprivilegieerde acties (zoals outbound requests) zonder aanvullende validatie.
- Beperk of controleer runtime-ontsleuteling: als ciphertext tot een ontsleutelde prompt kan leiden, wil je dat proces zichtbaar en toetsbaar maken, of onderdrukken waar dat kan.
- Integreer context- en intentchecks: bescherm niet alleen op basis van tekstuele detectie, maar ook op basis van gedragspatronen (bijvoorbeeld: “decryptie gevolgd door exfiltratie-achtige handelingen”).
- Gebruik agent sandboxing met strikte egress-beperkingen: zorg dat internettoegang en data-uitvoer minimaal en gecontroleerd zijn, zodat zelfs bij misbruik de schade beperkt blijft.
Wil je de link leggen met andere prompt- en agentkwetsbaarheden? Dan is het nuttig om ook breder te kijken naar bekende risico’s bij agentische workflows en prompt injection. Bijvoorbeeld: een kwetsbaarheid in isolated VM met RCE-risico laat zien hoe het vertrouwen in sandbox-achtige mechanismen onder druk kan komen te staan.
Let extra op integraties en “helper” processen
Veel organisaties gebruiken AI niet alleen als chattool, maar als onderdeel van workflows: samenvatten, analyseren, rapporteren, of data ophalen uit interne systemen. Juist bij die geautomatiseerde stappen wordt het gevaar vergroot, omdat de agent zelf beslissingen neemt over verwerking en mogelijk ook over netwerk- of toolacties.
Als je organisatie werkt met AI-agenten die webpagina’s kunnen lezen, bestanden kunnen verwerken of met externe endpoints communiceren, is het verstandig om te checken welke onderdelen mogelijk aan te sturen zijn door inhoud van buitenaf. De aanval beschrijft namelijk precies dat patroon: niet-trusted input stuurt geprivilegieerde acties.
Daarnaast is het zinvol om te kijken naar hoe je governance rond AI modelgebruik inricht. Als governance alleen gaat over “wat er in de prompt staat”, maar niet over “wat er gebeurt nadat een agent input interpreteert”, dan kan een techniek als Cryptographic Context Injection alsnog door de mazen glippen.
Conclusie
Cryptographic Context Injection laat zien dat AI-safety guardrails kwetsbaar kunnen zijn wanneer aanvallers versleutelde instructies gebruiken om de filterstappen te omzeilen. De kern is dat ciphertext kan worden verwerkt in een uitvoeringcontext waar de herstelde prompt alsnog instructies bevat die misbruik mogelijk maken, inclusief datalekken of ongewenste toolacties.
De boodschap voor verdedigers is duidelijk: beperk niet alleen de input op basis van tekstherkenning, maar maak ook runtime-gedrag, toolgebruik en egress-controle onderdeel van je beveiligingsaanpak. Daarmee verlaag je de kans dat een agentische workflow instructies uitvoert die eigenlijk nooit binnen een vertrouwde actieroute hadden mogen landen.
Bron: https://www.securityweek.com/encrypted-prompts-bypass-ai-safety-guardrails-in-grok-and-gemini/
