Grok di xAI mostra che i guardrail basati sul testo in chiaro non bastano: Adversa ha dimostrato che istruzioni malevole cifrate possono passare dai filtri e spingere l’assistente a esfiltrare chat e dati della casella. L’attacco resta efficace anche dopo che xAI è stato avvisato a giugno.
Il trucco è semplice. La pagina contiene il testo cifrato e, accanto, le istruzioni per decifrarlo. Quando Grok segue quei passaggi per riassumere il contenuto, legge il comando vero solo alla fine del processo e lo esegue come se fosse normale testo, senza avvisi né conferme.
Per chi costruisce o distribuisce assistenti LLM che leggono mail, documenti o web page, il punto è che il contenuto ostile può restare invisibile finché il modello non lo decifra da solo. La superficie d’attacco non è più solo la frase malevola in chiaro, ma qualunque flusso in cui il modello tratta contenuti non fidati come se fossero istruzioni.