Investigadores muestran una técnica que puede hacer que Grok filtre datos personales al leer instrucciones cifradas.
Un equipo de Adversa ha presentado una forma de ataque contra Grok que aprovecha una debilidad conocida de los modelos de lenguaje: la inyección de prompt. La diferencia está en que las instrucciones maliciosas no se entregan en texto claro, sino cifradas. Así, las defensas automáticas pueden ver solo un bloque de datos aparentemente inofensivo.
La página preparada por el atacante contiene el texto cifrado, la clave y una explicación para descifrarlo. Si un usuario pide a Grok que la resuma, el asistente puede recuperar la instrucción oculta. Desde ese momento, la orden ya no parece una entrada sospechosa, sino un resultado producido dentro del trabajo del modelo.
En la prueba descrita, las instrucciones descifradas indicaban a Grok que generara una supuesta clave. En realidad, ese valor podía incluir el nombre del usuario, su ubicación y fragmentos de su historial de chats. Después, el asistente incorporaba esos datos a una URL dirigida a un servidor controlado por el atacante.
Los registros de ese servidor podían conservar la información filtrada. La operación unía dos pasos sensibles: leer una orden escondida y enviar datos fuera del entorno del usuario.
La técnica ha recibido el nombre de inyección de contexto criptográfico. Según Adversa, una barrera de seguridad estática puede leer el contenido, pero no ejecuta operaciones como PBKDF2 y AES-256-GCM para descubrir qué se esconde detrás.
xAI fue informada en junio. Cuando el caso se publicó el 20 de agosto de 2026, el comportamiento seguía siendo reproducible. El episodio subraya que añadir filtros no basta si el modelo convierte datos externos en órdenes internas sin otra revisión.
Basado en: Dan Goodin, Ars Technica