In questo articolo Indice dei contenuti 2 sezioni
Una falla che riguarda Grok permette di sottrarre dati personali con un gesto banale come chiedere il riassunto di una pagina web, e la cosa più scomoda è che il problema risulta ancora aperto. A descriverla sono stati i ricercatori di Adversa, che hanno battezzato la tecnica Cryptographic Context Injection. Il meccanismo si appoggia a istruzioni cifrate nascoste dentro la pagina, che il chatbot esegue senza fiatare. Nessun avviso, nessuna richiesta di conferma all’utente.
Il punto di partenza è una vecchia conoscenza del settore, il cosiddetto prompt injection indiretto. Funziona così: qualcuno nasconde comandi dentro pagine web, email o documenti, e quei comandi vengono poi eseguiti dal modello mentre l’utente crede di aver chiesto soltanto un riassunto o una traduzione. I modelli più recenti, va detto, hanno imparato a riconoscere la trappola e in molti casi si rifiutano di procedere. È esattamente qui che si inserisce il lavoro degli esperti di Adversa, che hanno trovato il modo di scavalcare le difese.
Come funziona la trappola dentro la pagina web
L’idea è tanto semplice quanto fastidiosa. Le istruzioni malevole non vengono scritte in chiaro, ma in forma cifrata. Accanto a esse, sulla stessa pagina, vengono lasciate anche le indicazioni per decifrarle e la relativa chiave. Il filtro di sicurezza non vede nulla di sospetto, perché davanti ha soltanto una sequenza di caratteri incomprensibili. Grok, invece, fa quello che sa fare meglio: legge, ricompone, obbedisce.
Una volta decifrate, quelle istruzioni chiedono al chatbot di costruire quella che sembra a tutti gli effetti una chiave di decifrazione. Ma è una messinscena. Il valore di quella falsa chiave viene riempito con le informazioni dell’utente, tra cui nome, posizione e cronologia delle chat. A quel punto il passaggio finale è quasi automatico, con i dati che finiscono su un server controllato dai cybercriminali. Tutto senza che chi ha aperto la pagina si accorga di qualcosa, perché in superficie l’operazione appare identica a qualsiasi altra richiesta di sintesi.
Il dettaglio che pesa di più riguarda i tempi. La segnalazione a xAI è arrivata a giugno, eppure la vulnerabilità risulta ancora presente. Non una svista scoperta ieri, insomma, ma una questione nota da mesi e rimasta sul tavolo.
Il confronto con Gemini e la patch di Microsoft
Una tecnica simile era già stata impiegata per portare un attacco di prompt injection contro Gemini. In quel caso però la storia ha preso un’altra piega, perché Google ha rafforzato le protezioni nelle ultime settimane e il chatbot ora riesce a reggere il colpo. Un confronto che rende ancora più evidente la differenza di approccio tra chi ha messo mano al codice e chi invece non lo ha ancora fatto.
Sul fronte Microsoft, intanto, si registra un intervento concreto. L’azienda ha rilasciato la patch che chiude un bug di Copilot, mettendo una pezza su un problema che rientrava nella stessa famiglia di rischi. È il tipo di risposta che ci si aspetta quando emerge una debolezza di questo genere, ed è anche il metro con cui viene misurata la reattività di chi sviluppa assistenti conversazionali.
Il quadro che ne esce è quello di una superficie d’attacco che si allarga man mano che i chatbot vengono collegati al web e autorizzati a leggere contenuti esterni. Ogni pagina visitata diventa potenzialmente un canale, ogni riassunto una porta socchiusa. La Cryptographic Context Injection sfrutta proprio questa fiducia implicita nel contenuto, aggirando i controlli con un gioco di travestimenti che i filtri attuali non riescono a smascherare.
Per chi usa questi strumenti tutti i giorni la lezione pratica è ridotta all’osso: chiedere a un assistente di riassumere una pagina sconosciuta non è un’operazione neutra, perché il modello legge anche quello che gli occhi umani non vedono. E in questo caso specifico, la richiesta di sintesi si trasforma nel grimaldello che apre l’accesso a nome, posizione e cronologia delle conversazioni.
