Der Sicherheitsforscher Rony Utevsky vom Unternehmen Adversa AI hat eine neuartige Angriffsmethode namens Cryptographic Context Injection demonstriert. Diese zielt auf die KI-Modelle Grok von xAI sowie Gemini von Google ab. Durch den Einsatz von verschlüsselten Datenpaketen gelingt es Angreifern, bestehende Sicherheitsvorkehrungen zu umgehen und sensible Nutzerdaten zu exfiltrieren.
Der Mechanismus des Angriffs nutzt laut den Experten eine AES-verschlüsselte Payload, die auf bösartigen Webseiten eingebettet wird. Wenn ein Nutzer eine solche Seite durch die KI-Systeme zusammenfassen lässt, greift die Schwachstelle. Im Fall von Grok werde der verschlüsselte Inhalt innerhalb einer Python-Sandbox entschlüsselt und ausgeführt. Dieser Prozess erfolge ohne weitere Benutzerinteraktion, was als Zero-Click-Angriff eingestuft wird.
Exfiltration von Nutzerdaten bei Grok
Die Folgen für die betroffenen Nutzer sind erheblich. Den Analysen zufolge können Angreifer durch diesen Prozess den vollständigen Chatverlauf sowie persönliche Informationen wie den Namen, den Standort und die aktuelle Abonnementstufe des Anwenders stehlen. Diese Daten würden anschließend automatisiert an eine vom Angreifer kontrollierte URL übermittelt.
Bei Google Gemini zeigten sich andere, aber ebenso kritische Auswirkungen. Hier sei es den Forschern gelungen, durch den Angriff Systemanweisungen offenzulegen und die KI zur Erstellung von Anleitungen für die Herstellung von Brandvorrichtungen zu bewegen. Damit wurden die internen Sicherheitsrichtlinien des Modells erfolgreich umgangen.
Versagen bestehender Abwehrmechanismen
Ein wesentliches Problem stellt die Erkennung des Angriffs dar. Da die schädlichen Anweisungen verschlüsselt übertragen werden, können herkömmliche Klassifikatoren die Gefahr nicht identifizieren, bevor die Entschlüsselung innerhalb der Ausführungs-Sandbox stattfindet. Erst dort wird der Klartext für das System sichtbar, was für viele aktuelle Sicherheitsfilter zu spät ist.
Wer sich mit der Absicherung von KI-Systemen im Unternehmen befasst, muss die neuen rechtlichen Rahmenbedingungen kennen. Dieser kostenlose Ratgeber bietet einen kompakten Überblick über alle Anforderungen, Pflichten und Risikoklassen der aktuellen EU-Regulierung. EU AI Act in 5 Schritten verstehen
Als mögliche technologische Gegenmaßnahme wird eine sogenannte Sentinel-Firewall angeführt. Diese sei in der Lage, auch entschlüsselte Anweisungen und Tool-Aufrufe innerhalb der Sandbox zu scannen und so bösartige Aktionen zu unterbinden, bevor diese ausgeführt werden.
Ausbleibende Reaktion von xAI
Die zeitliche Abfolge der Entdeckung verdeutlicht zudem Schwierigkeiten in der Kommunikation mit den Herstellern. Adversa AI gab an, die Schwachstelle bereits am 3. Juni 2026 an xAI gemeldet zu haben. Eine Reaktion des Unternehmens sei daraufhin jedoch ausgeblieben.
Die rasanten technologischen Entwicklungen bringen neue rechtliche Verpflichtungen für die Dokumentation und Qualitätssicherung von KI-Anwendungen mit sich. Ein kostenloser Umsetzungsleitfaden hilft Verantwortlichen dabei, die notwendigen Compliance-Schritte rechtzeitig einzuleiten. Kostenlosen Umsetzungsleitfaden zum EU AI Act sichern
In weiteren Tests am 19. August 2026 konnte der Angriff weiterhin erfolgreich reproduziert werden. Die offizielle Bekanntgabe der Ergebnisse erfolgte schließlich in den letzten Tagen durch die Sicherheitsforscher.
Fachleute betonen, dass bei diesem speziellen Angriffstyp kein klassischer Malware-Einsatz erfolge. Stattdessen folge der KI-Agent lediglich Anweisungen, die aus einer nicht vertrauenswürdigen Quelle stammen, sobald diese innerhalb der Systemumgebung entschlüsselt wurden. Dies unterstreiche die Notwendigkeit neuer Sicherheitsansätze für KI-Modelle, die über die einfache Überprüfung von Eingabetexten hinausgehen und auch die Laufzeitumgebungen der Agenten stärker absichern.
