Attaque Zero-Click sur Grok : l'injection cryptographique de prompts qui vole l'historique des conversations

Selon les chercheurs en sécurité d’Adversa AI, une nouvelle technique d’attaque baptisée Cryptographic Context Injection permet de détourner l’assistant IA Grok de xAI en utilisant des instructions chiffrées. En demandant simplement à l’IA de résumer une page web contrôlée par un attaquant, l’utilisateur déclenche sans le savoir une chaîne d’actions qui aboutit à l’exfiltration de ses données personnelles, y compris son nom, sa localisation approximative, son abonnement et l’historique complet de ses conversations. Cette attaque zero-click illustre les vulnérabilités émergentes des systèmes d’IA agentiques, où l’assistant dispose d’un accès au navigateur et d’un environnement d’exécution Python. Nous analysons en détail cette injection cryptographique de prompts, ses implications pour la vie privée et les mesures de protection à envisager.

Une simple demande de résumé peut compromettre vos données personnelles

Imaginez que vous demandiez à Grok de résumer une page web que vous consultez. En quelques secondes, l’assistant traite votre requête, consulte la page et vous fournit un résumé. Mais que se passe-t-il si cette page contient des instructions cachées, chiffrées de manière à ce que seul l’environnement d’exécution de l’IA puisse les déchiffrer ? C’est exactement le scénario démontré par Adversa AI : la page web héberge un objet JSON chiffré, une clé cryptographique et une instruction apparemment anodine invitant l’IA à déchiffrer le contenu à l’aide de son interpréteur Python.

Une fois déchiffrées, les instructions révèlent leur véritable objectif : récupérer les informations de session de l’utilisateur (nom, localisation, type d’abonnement) et l’historique actif de la conversation, puis les insérer dans une URL de requête vers un serveur contrôlé par l’attaquant. Grok, en utilisant sa capacité de navigation, se rend sur cette URL, transmettant ainsi les données volées. Le tout se déroule sans aucune confirmation, avertissement visible ou action supplémentaire de la part de la victime après la demande initiale. Selon les tests d’Adversa AI, la chaîne d’attaque complète s’exécute sans dialogue de confirmation, rendant l’exfiltration totalement silencieuse.

Cette démonstration met en lumière un problème fondamental : la frontière de confiance entre le contenu web non fiable et les instructions internes de l’IA. Les chercheurs ont qualifié cette technique de Cryptographic Context Injection, une forme avancée d’injection de prompts qui exploite le chiffrement pour contourner les filtres traditionnels.

Cryptographic Context Injection : le nouvel âge de l’injection de prompts

Mécanisme zero-click

L’attaque repose sur une chaîne de plusieurs capacités de l’IA agentique : l’accès au web (navigation), l’exécution de code Python (sandbox), et la manipulation du contexte de la conversation. Le déclencheur est une simple requête de l’utilisateur, par exemple « Résume cette page ». La page web contrôlée par l’attaquant contient un bloc de données chiffrées avec une instruction pour les déchiffrer. Grok, en suivant cette instruction, exécute le code Python qui déchiffre le payload à l’aide de l’algorithme AES-256-GCM et d’une dérivation de clé PBKDF2. Une fois déchiffrées, les instructions sont interprétées par l’IA comme faisant partie du contexte interne, et non comme du contenu web non fiable.

« Le problème est que l’assistant traite le résultat du déchiffrement comme une sortie fiable de son propre environnement d’exécution, alors qu’il s’agit en réalité d’instructions malveillantes provenant d’une source externe. » - Adversa AI

Cette rupture de la frontière de confiance est la clé de l’attaque. Au lieu de continuer à traiter les instructions déchiffrées comme du contenu web (donc potentiellement dangereux), Grok les considère comme une extension de son propre état interne, leur accordant une autorité qu’elles ne devraient pas avoir. Le payload déchiffré ordonne alors à l’IA de collecter des informations sensibles et de les exfiltrer via une requête HTTP vers un serveur distant.

Différence avec les injections de prompts classiques

Les injections de prompts traditionnelles utilisent des techniques comme le Base64, les chiffrements par substitution ou l’obfuscation Unicode pour cacher les instructions malveillantes. Ces méthodes sont souvent détectables par l’IA elle-même, car les modèles de langage peuvent inférer ou décoder des transformations simples à partir de leurs données d’entraînement. En revanche, un contenu fortement chiffré avec des algorithmes modernes (AES-256-GCM) ne peut pas être reconstruit à partir des seuls poids du modèle. L’IA doit nécessairement exécuter un code de déchiffrement dans son interpréteur Python, ce qui rend l’attaque plus difficile à bloquer par des filtres de prompts classiques.

Ce tableau montre que la Cryptographic Context Injection représente une évolution significative dans les techniques d’injection de prompts, ciblant spécifiquement les capacités agentiques des IA modernes.

Impact sur la vie privée : quelles données sont exposées ?

Informations personnelles et historique des conversations

Selon la preuve de concept d’Adversa AI, les données exfiltrées incluent :

• Le nom complet de l’utilisateur (tel que configuré dans le compte xAI) ;
• La localisation approximative (déduite de l’adresse IP ou du profil) ;
• Le type d’abonnement (gratuit, premium, etc.) ;
• L’historique actif de la conversation en cours, pouvant contenir des informations professionnelles, personnelles ou confidentielles.

Ces données, une fois entre les mains d’un attaquant, peuvent être utilisées pour du ciblage, de l’ingénierie sociale ou même du chantage. Dans un contexte professionnel, l’exfiltration de conversations pourrait révéler des secrets commerciaux, des stratégies internes ou des données clients, exposant l’entreprise à des risques juridiques et concurrentiels.

Conséquences pour les entreprises françaises (RGPD)

Pour les organisations françaises, une telle fuite de données pourrait entraîner des violations du Règlement général sur la protection des données (RGPD). La CNIL pourrait considérer l’utilisation d’une IA agentique sans garanties suffisantes comme un manquement à l’obligation de sécurité des données. Les entreprises doivent donc évaluer les risques liés à l’emploi d’assistants IA capables de naviguer sur le web et d’exécuter du code, et mettre en place des mesures de protection adaptées, comme l’isolement des accès web et la validation des actions sortantes.

« Dans la pratique, nous recommandons aux responsables de la sécurité de considérer toute IA agentique comme un vecteur d’attaque potentiel, et de durcir les contrôles sur les interactions avec des sources externes. » - Extrait d’une analyse interne de l’équipe sécurité d’un grand compte français.

Détails de l’exploit et état de la divulgation

Taux de succès et reproductibilité

Adversa AI a testé son exploit contre Grok 4.5 Fast sur grok.com. Sur environ 20 tentatives depuis juin 2026, le taux de succès était d’environ 40 %. Les échecs étaient principalement dus à des erreurs de déchiffrement, et non à des blocages par des mécanismes de défense contre l’injection de prompts. Les chercheurs ont pu reproduire l’attaque jusqu’au 19 août 2026, sans que xAI n’ait déployé de correctif public. Il n’existe à ce jour aucun CVE, patch officiel ou preuve d’exploitation dans la nature.

La divulgation responsable a été effectuée via le programme HackerOne de xAI le 3 juin 2026. xAI a accusé réception, mais n’a pas fourni de calendrier de correctif. Les relances des 4 et 10 août 2026 sont restées sans réponse. Cette situation soulève des questions sur la réactivité des fournisseurs d’IA face à des vulnérabilités critiques.

Comparaison avec d’autres attaques (Gemini)

Adversa AI a également démontré une approche similaire contre Google Gemini en mode Deep Thinking. Dans ce cas, le payload chiffré contenait un faux traceback Python, un callback de politique de sécurité fictif et un préfixe de raisonnement à la première personne. Cette variante montre que la technique n’est pas spécifique à Grok et pourrait être adaptée à d’autres IA agentiques disposant d’un environnement d’exécution de code.

Ces attaques mettent en évidence une surface d’attaque agentique en expansion. Les défenses doivent évoluer pour préserver la provenance des données, isoler le contenu web non fiable, exiger une approbation pour les navigations sortantes inattendues et détecter les chaînes à risque liant contenu web, exécution de code, accès au contexte sensible et sortie réseau.

Comment se protéger contre les injections de prompts cryptographiques ?

Recommandations pour les développeurs d’IA

Les fournisseurs d’assistants IA doivent revoir l’architecture de confiance de leurs systèmes. Voici des pistes concrètes :

1. Isolation stricte du contenu web : traiter toute information provenant d’une page web comme non fiable, même après déchiffrement par un environnement d’exécution. Les instructions déchiffrées ne doivent pas être intégrées au contexte interne sans une validation de provenance.
2. Contrôle des actions sortantes : toute requête HTTP ou navigation vers un domaine externe déclenchée par une instruction déchiffrée doit être soumise à une confirmation explicite de l’utilisateur ou à une politique de sécurité centralisée.
3. Détection de chaînes suspectes : les systèmes doivent surveiller les séquences d’actions combinant accès web, exécution de code, accès aux données sensibles et envoi réseau, et les bloquer si elles ne correspondent pas à un cas d’usage légitime.
4. Sandbox renforcé : l’environnement d’exécution Python doit être limité dans ses capacités réseau et d’accès au contexte utilisateur, avec des permissions minimales par défaut.

Mesures pour les utilisateurs et les SOC

Pour les entreprises et les utilisateurs individuels, quelques bonnes pratiques peuvent réduire les risques :

• Limiter l’utilisation d’IA agentiques pour les tâches sensibles tant que des correctifs de sécurité ne sont pas déployés.
• Surveiller les logs d’accès aux plateformes IA et détecter les comportements anormaux (requêtes vers des domaines inconnus, exécutions de code inattendues).
• Intégrer des solutions de Threat Intelligence capables de signaler les domaines malveillants et les patterns d’attaque. Les SOC peuvent utiliser des flux TI pour enrichir leurs alertes et bloquer les exfiltrations potentielles.
• Former les utilisateurs à ne pas demander à l’IA de résumer ou d’interagir avec des pages web non vérifiées, surtout dans un contexte professionnel.

« La cybersécurité des IA agentiques est un domaine en pleine évolution. Les équipes SOC doivent intégrer ces nouveaux vecteurs dans leur analyse de risques et mettre à jour leurs playbooks en conséquence. » - Recommandation d’un expert en sécurité des systèmes d’IA.

Conclusion : renforcer la confiance dans les IA agentiques

L’attaque Cryptographic Context Injection démontrée par Adversa AI n’est pas une simple variation des injections de prompts classiques : elle exploite les capacités agentiques des IA modernes pour contourner les défenses traditionnelles. En utilisant le chiffrement pour masquer les instructions malveillantes et en abusant de la confiance accordée au contexte interne, cette technique ouvre une nouvelle voie d’attaque qui pourrait toucher de nombreux systèmes à l’avenir.

Les fournisseurs d’IA doivent agir rapidement pour corriger ces vulnérabilités structurelles, tandis que les utilisateurs et les entreprises doivent adopter une posture de défense en profondeur. La confiance zero appliquée aux flux de données entre le web, l’exécution de code et le contexte utilisateur est plus que jamais nécessaire. En attendant des correctifs officiels, la vigilance et l’implémentation de contrôles stricts restent les meilleures armes contre cette nouvelle forme d’injection cryptographique de prompts.

Pour les équipes de sécurité, l’intégration de threat intelligence et la mise en place de détections spécifiques aux chaînes d’actions agentiques sont des étapes clés pour prévenir les incidents. L’écosystème français de la cybersécurité, en lien avec l’ANSSI et les référentiels ISO 27001, doit intégrer ces nouveaux risques dans ses guides de bonnes pratiques.