Uma equipa de investigadores de cibersegurança revelou uma nova tática de injeção de prompt capaz de contornar as barreiras de proteção do assistente de inteligência artificial da xAI. Conforme relatado pelo Ars Technica, o método explora comandos encriptados para forçar o Grok a extrair e enviar dados privados dos utilizadores para servidores externos.
Esta vulnerabilidade surge poucos dias após ter sido divulgado um ataque idêntico contra o Microsoft 365 Copilot corporativo, onde o assistente foi induzido a extrair palavras-passe da caixa de entrada do utilizador. Ambas as explorações demonstram que os modelos de linguagem continuam incapazes de distinguir instruções legítimas inseridas pelo utilizador de comandos maliciosos escondidos em conteúdos externos, como emails ou páginas web.
Como funciona a Injeção de Contexto Criptográfico
O novo ataque, batizado pela empresa de segurança Adversa como Cryptographic Context Injection (Injeção de Contexto Criptográfico), utiliza um método concetualmente simples. Em vez de colocar instruções maliciosas em texto simples numa página web, o atacante aloja o conteúdo cifrado, acompanhado por instruções de desencriptação e pela respetiva chave.
Quando o utilizador solicita ao assistente que faça o resumo dessa página, o modelo executa o código de desencriptação — recorrendo a algoritmos como PBKDF2 e AES-256-GCM — dentro do seu próprio ambiente isolado de execução. Como os sistemas de filtragem estáticos inspecionam apenas o texto de entrada e saída e não conseguem ler o conteúdo cifrado, o pedido passa sem emitir qualquer alerta.
Assim que o código é executado internamente, o texto desencriptado regressa ao modelo como resultado de uma ferramenta. Sem passar por nova verificação dos filtros, o assistente cumpre as ordens decipheradas: recolhe o nome do utilizador, a sua localização e o histórico de conversas, anexando essas informações como parâmetros a um URL que abre o site do atacante e regista os dados no servidor malicioso. Segundo o investigador Rony Utevsky, a xAI foi notificada da falha em junho, mas o sistema manteve-se vulnerável até à publicação da descoberta.
Falha afeta também outros modelos de inteligência artificial
A Adversa demonstrou que o problema não se limita à ferramenta da xAI. A empresa utilizou uma técnica semelhante para realizar um jailbreak no Gemini da Google, disfarçando o texto cifrado de mensagem de erro do sistema para contornar as regras de segurança e gerar conteúdos restritos.
A técnica evidencia uma limitação estrutural na arquitetura atual das inteligências artificiais baseadas em LLMs. Os filtros de segurança atuam como proteções estáticas que analisam texto, mas não executam código nem desencriptam dados em tempo real. Com a evolução dos assistentes virtuais, a superfície de ataque deixou de se limitar às frases introduzidas diretamente no chat, passando a abranger todo o contexto operacional do modelo, incluindo os resultados intermédios de ferramentas e da execução de código.
Perante esta limitação, os programadores dependem da criação contínua de barreiras secundárias. Contudo, cada nova proteção tende a ser contornada por novos vetores de ataque, mantendo um ciclo constante de correção e vulnerabilidade na segurança dos modelos de linguagem.
Nenhum comentário
Seja o primeiro!