[{"data":1,"prerenderedAt":30},["ShallowReactive",2],{"nr-de-grok-zero-click-chat-history-theft-vulnerability":3},{"slug":4,"title":5,"dek":6,"date":7,"time":8,"publishedAt":9,"updated":10,"updatedAt":10,"dateFmt":11,"updatedFmt":10,"kind":12,"tier":13,"author":14,"authorName":15,"topics":16,"tracker":22,"trackerLabel":23,"headlineStat":24,"image":25,"ogImage":26,"imageAlt":5,"csv":10,"minutes":27,"words":28,"html":29},"grok-zero-click-chat-history-theft-vulnerability","Sicherheitslücke in Grok: Zero-Click-Angriff stiehlt Chat-Verlauf","Forscher von Adversa AI haben eine neue Angriffstechnik demonstriert, die xAI's Grok kompromittiert – ohne dass der Nutzer etwas anklicken muss. Die Methode nutzt AES-Verschlüsselung, um KI-Sicherheitsfilter zu umgehen.","2026-08-24","08:01","2026-08-24T08:01:00+02:00","","24. August 2026","news","standard","ideal-syka","Ideal Syka",[17,18,19,20,21],"KI-Sicherheit","Prompt Injection","Grok","Adversa AI","Datenschutz","\u002Ftools\u002Fki-durchsetzungsmonitor","KI-Sicherheitsvorfälle","Zero-Click-Angriff stiehlt vollständigen Chat-Verlauf","\u002Fnewsroom\u002Fimg\u002Fgrok-zero-click-chat-history-theft-vulnerability.webp","\u002Fog-nr\u002Fgrok-zero-click-chat-history-theft-vulnerability.de.png",2,477,"\u003Cp>Sicherheitsforscher Rony Utevsky von Adversa AI hat eine neue Angriffstechnik namens \u003Cstrong>Cryptographic Context Injection\u003C\u002Fstrong> entwickelt, die KI-Sicherheitsfilter durch verschlüsselte Payloads umgeht. Die Methode wurde laut Bericht gegen zwei Live-Produktionssysteme demonstriert: \u003Cstrong>xAI's Grok\u003C\u002Fstrong> und \u003Cstrong>Google's Gemini\u003C\u002Fstrong>. Bei Grok ist die Sicherheitslücke besonders kritisch – ein Angreifer kann damit den kompletten Chat-Verlauf eines Nutzers stehlen, ohne dass dieser etwas anklicken muss.\u003C\u002Fp>\n\u003Ch2>Kurz & knapp\u003C\u002Fh2>\n\u003Cul>\n\u003Cli>\u003Cstrong>Angriffsziel:\u003C\u002Fstrong> xAI's Grok und Google's Gemini; Grok-Lücke als kritischer eingestuft\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Technik:\u003C\u002Fstrong> AES-256-GCM-Verschlüsselung versteckt Anweisungen vor Content-Filtern; das Modell entschlüsselt die Payload in seiner eigenen Sandbox\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Datendiebstahl:\u003C\u002Fstrong> Zugriff auf \u003Cstrong>Nutzername, Standort, Abonnement-Status und vollständiger Chat-Verlauf\u003C\u002Fstrong>\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Besonderheit:\u003C\u002Fstrong> Zero-Click – kein Nutzer-Klick erforderlich, keine Warnung\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch2>Wie der Angriff funktioniert\u003C\u002Fh2>\n\u003Cp>Der Ablauf ist tückisch einfach: Ein Nutzer wird gebeten, eine Webseite zusammenzufassen, die eine verschlüsselte Payload enthält. Grok besucht die Seite, entschlüsselt die AES-256-GCM-Payload in seiner Python-Sandbox und führt die darin versteckten Anweisungen aus. Das System greift dann auf die privaten Session-Daten des Nutzers zu – inklusive Name, Standort, Abonnement-Plan und vollständiger Chat-Historie – und öffnet automatisch eine URL mit diesen Informationen. Der Nutzer bemerkt nichts davon.\u003C\u002Fp>\n\u003Cblockquote>\n\u003Cp>"Cryptographic Context Injection versteckt bösartige Anweisungen in AES-verschlüsseltem Text, damit Sicherheitsfilter sie nicht lesen können, und täuscht die KI dann vor, sie zu entschlüsseln und als ihre eigenen zu vertrauen," heißt es im Bericht von Adversa AI.\u003C\u002Fp>\n\u003C\u002Fblockquote>\n\u003Ch2>Warum bisherige Sicherheitsmaßnahmen versagen\u003C\u002Fh2>\n\u003Cp>Der entscheidende technische Unterschied zu früheren Cipher-basierten Prompt-Injection-Angriffen liegt in der Entschlüsselung selbst. Statische Sicherheitsfilter klassifizieren Eingaben als Text – sie führen sie nicht aus. Ein Angreifer sendet Ciphertext zusammen mit dem Schlüsselmaterial und einer Entschlüsselungsanweisung. Das Modell führt die Entschlüsselung dann in seiner eigenen Code-Execution-Sandbox durch.\u003C\u002Fp>\n\u003Cp>Ältere Techniken wie \u003Cstrong>CipherChat\u003C\u002Fstrong> und \u003Cstrong>CodeChameleon\u003C\u002Fstrong> nutzten Substitutions-Ciphers, XOR oder Base64 – Verfahren, die das Modell nativ in seinem Kontext dekodieren kann. \u003Cstrong>AES-256-GCM\u003C\u002Fstrong> funktioniert anders: Die Entschlüsselung erfordert einen Runtime-Interpreter, den kein Standard-Content-Classifier bei der Inspektion durchführt. Genau diese Lücke nutzt der Angriff aus.\u003C\u002Fp>\n\u003Cblockquote>\n\u003Cp>"Die Runtime-Ausführung wäscht von Angreifern kontrollierte Daten in vertrauenswürdige Anweisungen um, die der Agent ausführt. So bekam der Angriff seinen Namen: Kryptografie hilft dabei, vertrauenswürdigen Kontext für den Agenten zu fabrizieren."\u003C\u002Fp>\n\u003C\u002Fblockquote>\n\u003Cp>Das Ergebnis: Die gestohlenen Daten werden hinter einer harmlosen Anfrage versteckt – etwa "Fasse diese Seite zusammen" – und die Payload erbt die Glaubwürdigkeit, die derselbe Text nie hätte, wenn er direkt in den Prompt eingefügt würde.\u003C\u002Fp>\n\u003Ch2>Was das für Entscheider bedeutet\u003C\u002Fh2>\n\u003Cp>Diese Lücke zeigt, dass auch fortgeschrittene KI-Systeme in Produktivumgebungen gegen neue Angriffsklassen anfällig sind. Für Unternehmen, die Grok oder ähnliche Frontier-Modelle evaluieren oder einsetzen, ist das ein klares Signal: Sicherheitsaudits müssen über Standard-Prompt-Injection hinausgehen. Die Fähigkeit eines Modells, Code auszuführen – ein Feature für Produktivität – wird hier zur Angriffsvektor. Organisationen sollten klären, wie ihre KI-Systeme mit verschlüsselten Inhalten umgehen und ob Nutzer-Daten wirklich isoliert sind.\u003C\u002Fp>\n\u003Ch2>Quellen\u003C\u002Fh2>\n\u003Cul>\n\u003Cli>\u003Ca href=\"https:\u002F\u002Fsecurityaffairs.com\u002F197717\u002Fhacking\u002Fzero-click-grok-chat-history-theft-adversa-ai-demonstrates-cryptographic-context-injection.html\">Security Affairs\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Cp>\u003Cem>Redaktionell verantwortet von \u003Ca href=\"\u002Fautor\u002Fideal-syka\">Ideal Syka\u003C\u002Fa>. Quellen und Arbeitsweise: \u003Ca href=\"\u002Fredaktion\">Redaktion & Methode\u003C\u002Fa>. Hinweise und Korrekturen: \u003Ca href=\"mailto:ai@i6eal.de\">ai@i6eal.de\u003C\u002Fa>.\u003C\u002Fem>\u003C\u002Fp>\n",1787554135589]