Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa opisali nową technikę ataku na agentów AI, określaną jako „Cryptographic Context Injection”. To rozwinięcie klasycznego prompt injection, w którym złośliwe instrukcje nie są widoczne wprost, lecz ukryte w zaszyfrowanym ładunku. Model lub jego środowisko narzędziowe otrzymuje polecenie odszyfrowania danych i wykonania wynikających z nich instrukcji.
W praktyce oznacza to, że pozornie zwykła strona internetowa może skłonić asystenta AI do ujawnienia danych z aktywnej sesji. Potencjalnie chodzi o treść rozmowy, metadane użytkownika, informacje o subskrypcji, a także inne elementy dostępne w bieżącym kontekście pracy modelu.
W skrócie
- Nowa technika łączy indirect prompt injection z zaszyfrowanym ładunkiem uruchamianym w runtime.
- W opisywanym scenariuszu atak miał dotyczyć webowej wersji Groka.
- Ładunek po odszyfrowaniu mógł nakazać agentowi pobranie danych z kontekstu sesji i wysłanie ich na zewnętrzny serwer.
- Atak nie musiał wymagać dodatkowego potwierdzenia od użytkownika.
- Ryzyko dotyczy nie tylko samego modelu, ale całego środowiska agentowego: narzędzi, pamięci, uprawnień i ruchu wychodzącego.
Kontekst / historia
Indirect prompt injection od dłuższego czasu jest uznawany za jedno z najważniejszych zagrożeń dla systemów AI korzystających z zewnętrznych źródeł treści. Problem pojawia się wtedy, gdy model analizuje nieufne dane, a następnie traktuje zawarte w nich instrukcje jako część własnego procesu działania.
W tym przypadku badacze rozszerzyli znany schemat o warstwę kryptograficzną. Zamiast umieszczać polecenia w jawnej postaci, ukryli je w zaszyfrowanym obiekcie, który miał zostać odszyfrowany już po stronie środowiska wykonawczego modelu. To utrudnia wykrycie zagrożenia przez klasyczne filtry analizujące treść wejściową przed wykonaniem operacji.
Z relacji autorów badań wynika, że zgłoszenie dotyczące Groka miało zostać przekazane producentowi 3 czerwca 2026 roku. Jednocześnie sama koncepcja wpisuje się w szerszy nurt badań nad obchodzeniem zabezpieczeń modeli za pomocą kodowania, szyfrowania i etapowego aktywowania ukrytych instrukcji.
Analiza techniczna
Sercem ataku jest łańcuch działań, w którym agent AI otrzymuje stronę zawierającą zaszyfrowany blob, materiał kluczowy i instrukcje pozwalające odszyfrować właściwy ładunek. W opisywanym scenariuszu środowisko wykonawcze miało wykorzystywać Pythona do przeprowadzenia operacji kryptograficznych, w tym PBKDF2 i AES-256-GCM.
Po odszyfrowaniu danych agent nie kończy działania na odczycie poleceń. Następnie może zostać nakierowany na pobranie prywatnego kontekstu sesji oraz osadzenie go w parametrach żądania kierowanego do zewnętrznego zasobu. Taki ruch wychodzący staje się w praktyce kanałem eksfiltracji danych.
Niebezpieczeństwo tej techniki wynika z kilku elementów. Po pierwsze, złośliwa semantyka pozostaje ukryta do momentu odszyfrowania. Po drugie, zaciera się granica między danymi a instrukcjami, ponieważ nieufna treść zaczyna sterować uprzywilejowanymi narzędziami. Po trzecie, jeśli system nie rozdziela źródeł pochodzenia kontekstu, agent może uznać wynik własnych operacji obliczeniowych za wiarygodny i bezpieczny etap procesu.
W praktyce cały mechanizm przypomina sekwencję: pobranie nieufnej treści, wykonanie kodu pomocniczego, odszyfrowanie ukrytych instrukcji, odczyt danych z pamięci lub kontekstu oraz finalne wywołanie sieciowe prowadzące do wycieku informacji. To pokazuje, że problem obejmuje pełen runtime agentowy, a nie tylko warstwę modelu językowego.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem jest naruszenie poufności danych z aktywnej sesji czatu. W zależności od architektury produktu mogą to być prompty użytkownika, historia rozmowy, metadane, informacje pomocnicze wykorzystywane do personalizacji odpowiedzi, a nawet dane pobrane przez zintegrowane narzędzia.
Dla organizacji oznacza to ryzyko wycieku danych klientów, informacji projektowych i wiedzy operacyjnej. Dodatkowo taki scenariusz może obchodzić tradycyjne mechanizmy DLP, ponieważ transfer odbywa się z wykorzystaniem legalnie dostępnych funkcji agenta. Utrudniona jest także detekcja, gdyż pojedyncze etapy ataku mogą wyglądać niewinnie: odszyfrowanie danych, wygenerowanie adresu żądania czy zwykłe użycie narzędzia sieciowego.
Powierzchnia ataku rośnie szczególnie tam, gdzie asystenci AI mają możliwość przeglądania internetu, uruchamiania kodu, korzystania z pamięci sesyjnej oraz integracji z repozytoriami, komunikatorami czy systemami ticketowymi. Im szersze uprawnienia i słabsza kontrola nad egress, tym większe ryzyko skutecznej eksfiltracji.
Rekomendacje
Podstawą ochrony powinno być ścisłe oddzielenie nieufnej treści od kontekstu uprzywilejowanego. Zewnętrzne strony, dokumenty i załączniki warto analizować w izolowanym środowisku bez dostępu do pamięci sesji, sekretów i wrażliwych narzędzi. Do głównego agenta powinny trafiać jedynie ustrukturyzowane wyniki, a nie swobodnie interpretowana surowa treść.
Konieczna jest także kontrola działań wychodzących. Każde połączenie do nowej domeny, odczyt wrażliwego źródła, zapis poza sandboxem czy publikacja danych powinny podlegać zasadzie deny-by-default albo wymagać jawnej autoryzacji. Kluczowe znaczenie ma zatwierdzanie pełnych, rozwiniętych argumentów akcji, a nie tylko szablonów poleceń.
Organizacje powinny również wdrożyć pełne logowanie użycia narzędzi przez agentów AI. Rejestrowanie sekwencji operacji, argumentów wywołań i zależności między krokami może istotnie poprawić wykrywanie incydentów oraz analizę powłamaniową.
Dodatkowym sygnałem ostrzegawczym powinny być sytuacje, w których model otrzymuje zaszyfrowany blob wraz z instrukcją jego odszyfrowania. Taki wzorzec nie zawsze oznacza atak, ale powinien uruchamiać podwyższony poziom kontroli. Same filtry treści nie wystarczą, jeśli złośliwa semantyka ujawnia się dopiero w czasie wykonywania kodu.
- Izolować analizę nieufnych źródeł od pamięci i narzędzi uprzywilejowanych.
- Ograniczać ruch wychodzący i stosować polityki najmniejszych uprawnień.
- Wymagać zatwierdzania akcji wysokiego ryzyka wraz z pełnymi argumentami.
- Monitorować i logować wszystkie operacje narzędziowe wykonywane przez agentów.
- Traktować odszyfrowywanie zewnętrznych ładunków jako wzorzec podwyższonego ryzyka.
Podsumowanie
„Cryptographic Context Injection” pokazuje, że bezpieczeństwo agentów AI zależy nie tylko od jakości filtrów modelu, lecz od całego środowiska operacyjnego. Możliwość uruchamiania kodu, dostęp do pamięci, integracje z narzędziami i brak kontroli nad ruchem wychodzącym tworzą warunki, w których zwykła strona internetowa może stać się punktem wejścia do wycieku danych.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że obrona przed prompt injection musi obejmować granice zaufania, przepływ kontekstu, telemetrię narzędzi oraz twarde ograniczenia uprawnień. W przeciwnym razie coraz bardziej złożone łańcuchy ataku będą skutecznie omijać klasyczne mechanizmy ochronne.
Źródła
- https://thehackernews.com/2026/08/new-cryptographic-context-injection.html
- https://ronyut.me/posts/cryptographic-payload-injection/
- https://hackerone.com/xai
- https://embracethered.com/blog/posts/2024/xai-grok-data-exfiltration-via-indirect-prompt-injection/
- https://www.usenix.org/conference/usenixsecurity26