Pesquisadores da Adversa AI revelaram um novo método de ataque que consegue contornar as proteções de modelos de inteligência artificial generativa, incluindo o Grok, da xAI, e o Gemini, do Google. Denominado “Injeção de Contexto Criptográfico”, essa técnica oculta comandos maliciosos dentro de textos criptografados, que o sistema de proteção considera inofensivos.
Os filtros de segurança convencionais analisam apenas o texto estático, sem executar códigos complexos durante a verificação. Ao empacotar ordens perigosas em formato AES-256, os atacantes conseguem evitar que a mensagem original seja lida. Uma vez que a IA processa o código, as instruções maliciosas são decifradas e tratadas como comandos legítimos.
No caso do Grok, o ataque foi realizado sem que o usuário precisasse clicar em nenhum link, caracterizando um ataque “zero-click”. O invasor inseriu o código criptografado em uma página comum da internet. Quando o Grok foi solicitado a resumir ou analisar essa página, ele acessou o site, decodificou o conteúdo e começou a seguir as instruções ocultas, coletando dados privados da sessão do usuário, como nome e localização.
Os especialistas da Adversa AI enfatizaram a vulnerabilidade na integração do assistente da xAI, que permite que informações de fontes não confiáveis acionem ferramentas privilegiadas conectadas à internet. Esse vazamento ocorre sem nenhuma notificação ao usuário.
No teste com o Gemini, os pesquisadores mostraram como burlar as regras de segurança. Em vez de fazer uma pergunta proibida, o invasor enviou um código criptografado que, ao ser decifrado, simulava um erro interno que ordenava à IA ignorar os filtros e produzir uma resposta restrita. O resultado foi a geração de conteúdo sobre a fabricação de armas incendiárias e acesso a instruções confidenciais do modelo Gemini 3 Flash.
A Adversa AI informou que notificou a xAI em 3 de junho por meio do programa HackerOne, e tentou novos contatos em agosto para coordenar a correção, mas não obteve resposta. Quanto ao Google, a empresa não abriu um chamado oficial, pois a política de recompensas da gigante de tecnologia não cobre tentativas de jailbreak.
Os pesquisadores notaram uma queda na taxa de sucesso do ataque contra o Gemini entre junho e agosto, sugerindo que possíveis atualizações nos filtros e versões do modelo podem ter sido implementadas. Para mitigar esses riscos, eles recomendam que desenvolvedores e empresas isolem dados externos não confiáveis, bloqueiem o envio de informações sem confirmação explícita do usuário e monitorem ações executadas por assistentes em tempo real.