Un utente chiede a Grok di riassumere una pagina web, e il suo nome, la posizione approssimativa, il livello di abbonamento e l'intera sequenza dei prompt della conversazione finiscono nei log di un server estraneo. Non serve un clic in pi�, non compare alcun avviso e non viene chiesta alcuna conferma. La catena che porta a quel risultato � stata segnalata a xAI il 3 giugno 2026, e il 19 agosto era ancora riproducibile.
Tutto � stato ricostruito da Adversa AI, che ha battezzato la tecnica Cryptographic Context Injection. Le istruzioni dell'attaccante non raggiungono il modello come testo leggibile, ma come blocco cifrato con AES-256-GCM sotto una chiave derivata con PBKDF2. La pagina ospita il testo cifrato, il materiale di chiave e l'istruzione di decifrarlo, e il modello esegue quella decifratura nel proprio runtime Python.
Le barriere di sicurezza dei modelli leggono i contenuti, non li eseguono. Un classificatore vede passare l'istruzione di applicare PBKDF2 e AES-256-GCM e la tratta come una richiesta qualunque, perch� sa leggerla ma non sa risolvere cosa apra. Si tratta di richieste statiche perch� leggono i contenuti soltanto come testo. Non eseguono codice e non decifrano nulla, ma le istruzioni vere sono cifrate e quindi la barriera vede solo testo cifrato privo di senso e lo lascia passare.
