VERSCHLÜSSELTE FALLE! Eine harmlose Webseite reicht — und Grok petzt deinen ganzen Chat

Du schickst deinem KI-Assistenten einen Link und bittest um eine Zusammenfassung. Klingt nach der harmlosesten Aufgabe überhaupt. Die Sicherheitsfirma Adversa AI hat gezeigt, dass genau dieser Handgriff bei Grok ausreicht, damit die Webseite im Gegenzug deine Daten mitnimmt.

Der Trick: Der Filter kann den Angriff gar nicht lesen

Schutzmechanismen gegen eingeschleuste Anweisungen funktionieren im Kern so: Ein Wächter liest den Text, den das Modell bekommt, und schlägt Alarm, wenn dort Befehle stehen wie „ignoriere deine bisherigen Anweisungen“.

Die neue Technik heißt Cryptographic Context Injection und dreht dieses Prinzip um. Die Angreifer verstecken ihre Anweisungen nicht — sie verschlüsseln sie mit AES. Für den Wächter ist das Zeichensalat ohne Bedeutung, also lässt er es durch.

Auf der Seite steht dann etwas, das dem Modell freundlich erklärt, wie es diesen Block entschlüsseln kann. Grok führt die Entschlüsselung in seiner eigenen Code-Umgebung aus — und jetzt kommt der entscheidende Punkt: Das Ergebnis erscheint als Ausgabe des eigenen Codes, nicht als fremder Text von einer Webseite. Das Modell behandelt es damit als vertrauenswürdig und tut, was dort steht.

SCHOCK: Was tatsächlich abfließt

In der Demonstration wanderten folgende Angaben an einen Server der Forscher:

• Name des Nutzers
• ungefährer Standort
• Abostufe des Kontos
• die Eingaben aus dem laufenden Gespräch

Besonders unangenehm: Es gab keine Rückfrage und keine sichtbare Warnung. Aus Sicht des Nutzers sah alles nach einer ganz normalen Zusammenfassung aus.

Nicht nur Grok: Auch Gemini fiel darauf herein

Adversa hat dieselbe Methode gegen Gemini getestet — mit einem anderen Ziel. Dort ging es nicht um Datenabfluss, sondern um die Sicherheitsfilter: Über den verschlüsselten Umweg brachten die Forscher das Modell dazu, Inhalte auszugeben, die es normalerweise verweigert, darunter eine Anleitung zum Bau eines Brandsatzes.

Das deutet darauf hin, dass hier kein einzelner Programmierfehler vorliegt, sondern eine strukturelle Schwäche: Modelle unterscheiden zu wenig sauber zwischen „Text, den ich verarbeiten soll“ und „Anweisung, der ich folgen soll“ — besonders, wenn der Text den Umweg über die eigene Code-Ausführung genommen hat.

Seit Juni gemeldet, immer noch offen

Adversa AI hat xAI am 3. Juni 2026 informiert. Stand 19. August 2026 war die Lücke nach Angaben der Forscher weiterhin nicht geschlossen. Zweieinhalb Monate für eine Schwachstelle, die ohne Zutun des Nutzers Daten abgreift, sind sportlich.

So schützt du dich JETZT

1. Keine unbekannten Links zusammenfassen lassen. Solange kein Patch da ist, ist das die einzige verlässliche Maßnahme im Grok-Webchat.
2. Keine sensiblen Inhalte im selben Gespräch. Abfließen können nur Daten aus dem laufenden Verlauf. Ein frisches Gespräch für Web-Zusammenfassungen begrenzt den Schaden.
3. Agenten Grenzen setzen. Wenn du KI-Werkzeuge mit Netzzugriff einsetzt, gib ihnen keine dauerhaften Zugangsdaten und lass ausgehende Verbindungen nicht ungefiltert zu.
4. Prüfen statt vertrauen. Wenn ein Assistent nach einer harmlosen Anfrage plötzlich Code ausführt, ist das ein Grund zum Hinsehen, nicht zum Weiterklicken.

FAZIT: Zusammenfassen ist keine harmlose Aktion mehr

Der Fall verschiebt die Grenze dessen, was als riskante Nutzung gilt. Nicht mehr nur das Ausführen von Code oder das Verbinden externer Werkzeuge ist heikel — schon das Lesenlassen einer fremden Seite kann reichen. Wer KI-Assistenten produktiv einsetzt, sollte sie behandeln wie einen sehr fleißigen Praktikanten, der alles glaubt, was auf einem Zettel steht.

Quellen

• Adversa AI: Grok chat history leak — Cryptographic Context Injection
• The Hacker News: New Cryptographic Context Injection Attack Could Let Web Pages Steal Grok Chat Data
• The Register: Grok chat duped into swallowing injected instructions
• SecurityWeek: Encrypted Prompts Bypass AI Safety Guardrails in Grok and Gemini