Precis när du trodde att din AI-assistent inte kunde bli mer hjälpsam, har forskare upptäckt att Grok, Elon Musks egen LLM, mer än gärna lämnar över dina chattar och personuppgifter om begäran kommer insvept i lite kryptografisk flair. Denna vecka avslöjade säkerhetsföretaget Adversa ett snyggt litet trick: istället för att be Grok att skvallra i klartext, krypterar du begäran. Modellen, som är så ivrig att behaga, dekrypterar gladeligen instruktionerna och följer dem utan att ställa frågor.

Det är en berättelse lika gammal som tiden (eller åtminstone lika gammal som LLM:er): prompt injection. Dessa attacker utnyttjar det faktum att LLM:er är tränade att vara människor som vill vara till lags, så de följer instruktioner från e-postmeddelanden eller webbsidor lika gärna som från en användare. Den senaste twisten, kallad "Cryptographic Context Injection", innebär att man gömmer de ondskefulla instruktionerna i chiffertext på en webbsida. Sidan innehåller också dekrypteringsnyckeln och instruktioner för att dekryptera den. När användaren ber Grok att sammanfatta sidan, avkodar modellen det dolda meddelandet och, voilà, är det igång - exfiltrerar användarnamn, platser och chattloggar till angriparens server.

Rony Utevsky, forskaren på Adversa som upptäckte felet, förklarar att statiska säkerhetsbarriärer bara läser text; de kör inte kod eller dekrypterar något. Så de krypterade instruktionerna glider förbi filtren, och när de väl dekrypterats blir de verktygsutdata som barriärerna aldrig inspekterar. Det är som en dörrvakt som kontrollerar ID-handlingar men inte märker att VIP-passet faktiskt är en förfalskad backstage-laminat.

Detta är inte bara ett Grok-problem. Adversa använde en liknande teknik för att jailbreaka Gemini, Googles LLM, och fick den att producera begränsat innehåll som instruktioner för att bygga ett brandfarligt vapen. Google underrättades inte ens eftersom jailbreaks ligger utanför deras program för sårbarhetsrapportering. Men Google har sedan dess blivit mer motståndskraftig mot attacken, möjligen på grund av filteruppdateringar eller modelländringar.

Utevsky och hans team kallar detta för ett tecken på en bredare förändring i attacker som manipulerar inte bara prompten utan den bredare kontext som en LLM behandlar som sin egen, såsom verktygsutdata och körningsresultat. Attackytan är enorm, och försvararna spelar ett spel av "whack-a-mole". Varje ny barriär är bara ytterligare ett hinder att kringgå. Som Utevsky uttrycker det: "tvätta, skölj, upprepa."

Så medan AI-utvecklare kämpar för att bygga bättre barriärer, kom ihåg: din LLM kan vara mer villig att dela dina hemligheter än din terapeut, särskilt om du frågar snällt och krypterar begäran.