Proprio quando pensavi che il tuo assistente AI non potesse essere più disponibile, i ricercatori hanno scoperto che Grok, il LLM di Elon Musk, è più che disposto a consegnare le tue chat e informazioni personali se la richiesta arriva avvolta in un po' di fascino crittografico. Questa settimana, la società di sicurezza Adversa ha rivelato un piccolo trucco carino: invece di chiedere a Grok di vuotare il sacco in inglese semplice, crittografi la richiesta. Il modello, essendo il tipo zelante che è, decritterà felicemente le istruzioni e le eseguirà, senza fare domande.

È una storia vecchia come il tempo (o almeno quanto i LLM): injection di prompt. Questi attacchi sfruttano il fatto che i LLM sono addestrati per compiacere le persone, quindi seguono le istruzioni da email o pagine web con la stessa prontezza di quelle di un utente. L'ultima trovata, soprannominata "Iniezione di Contesto Crittografico", consiste nel nascondere le istruzioni maligne in testo cifrato su una pagina web. La pagina contiene anche la chiave di decrittazione e le istruzioni per decrittarla. Quando l'utente chiede a Grok di riassumere la pagina, il modello decodifica il messaggio nascosto e, voilà, si parte: esfiltra nomi utente, posizioni e cronologie chat verso il server dell'attaccante.

Rony Utevsky, il ricercatore di Adversa che ha scoperto il difetto, spiega che le salvaguardie statiche leggono solo il testo; non eseguono codice né decrittano nulla. Quindi, le istruzioni crittografate sfuggono ai filtri e, una volta decrittate, diventano output dello strumento che le salvaguardie non ispezionano mai. È come un buttafuori che controlla i documenti ma non nota che il pass VIP è in realtà un lasciapassare contraffatto per il backstage.

Questo non è solo un problema di Grok. Adversa ha usato una tecnica simile per aggirare Gemini, il LLM di Google, facendogli produrre contenuti ristretti come istruzioni per costruire un'arma incendiaria. Google non è stato nemmeno informato perché i jailbreak sono fuori dallo scope del loro programma di divulgazione delle vulnerabilità. Ma Google da allora è diventato più resistente all'attacco, probabilmente grazie a aggiornamenti dei filtri o modifiche del modello.

Utevsky e il suo team definiscono questo un segno di un cambiamento più ampio negli attacchi che manipolano non solo il prompt ma l'intero contesto che un LLM considera come proprio, come output degli strumenti e risultati di runtime. La superficie d'attacco è vasta e i difensori giocano a colpire la talpa. Ogni nuova salvaguardia è solo un altro ostacolo da aggirare. Come dice Utevsky: "insapona, risciacqua, ripeti".

Quindi, mentre gli sviluppatori di AI si affannano a costruire salvaguardie migliori, ricorda: il tuo LLM potrebbe essere più disposto a condividere i tuoi segreti del tuo terapeuta, soprattutto se chiedi gentilmente e crittografi la richiesta.