Grok di xAI mostra che i guardrail basati sul testo in chiaro non bastano: Adversa ha dimostrato che istruzioni malevole cifrate possono passare dai filtri e spingere l’assistente a esfiltrare chat e dati della casella. L’attacco resta efficace anche dopo che xAI è stato avvisato a giugno.
Il trucco è semplice. La pagina contiene il testo cifrato e, accanto, le istruzioni per decifrarlo. Quando Grok segue quei passaggi per riassumere il contenuto, legge il comando vero solo alla fine del processo e lo esegue come se fosse normale testo, senza avvisi né conferme.
Per chi costruisce o distribuisce assistenti LLM che leggono mail, documenti o web page, il punto è che il contenuto ostile può restare invisibile finché il modello non lo decifra da solo. La superficie d’attacco non è più solo la frase malevola in chiaro, ma qualunque flusso in cui il modello tratta contenuti non fidati come se fossero istruzioni.
Encrypted Prompts Bypass AI Safety Guardrails in Grok and Gemini
Researchers say the new ‘Cryptographic Context Injection’ technique conceals malicious instructions until they are decrypted inside a trusted execution environment.