Il suffit de chiffrer l'attaque pour que Grok l'exécute sans broncher

Un chercheur de la société de sécurité Adversa, Rony Utevsky, a trouvé une manière étonnamment simple de contourner intégralement les protections de Grok contre l'injection de prompt : chiffrer l'instruction malveillante.

La même consigne, écrite en clair, est bloquée. Chiffrée, elle passe. Au moment de la publication de l'article d'Ars Technica, le 20 août, l'assistant continuait à livrer les données, alors que xAI avait été informé dès le mois de juin.

Comment l'attaque fonctionne

Tout tient sur une page web que l'utilisateur demande innocemment à Grok de résumer. Cette page contient :

• un bloc de texte chiffré, illisible ;

• en clair, les instructions pour le déchiffrer ;

• et la clé de déchiffrement.

Grok exécute le déchiffrement, obtient les vraies instructions, et les suit. Sans avertissement, sans demande de confirmation.

Les instructions déchiffrées lui demandent de construire ce qui est présenté comme une « clé de déchiffrement ». En réalité, la valeur fabriquée contient le nom de l'utilisateur, sa localisation et son historique de conversation. Cette valeur est ensuite ajoutée en paramètre à une adresse pointant vers le site de l'attaquant. Grok ouvre le lien — et les données atterrissent dans les journaux du serveur adverse.

Pourquoi le filtre ne voit rien

L'hypothèse d'Adversa est la plus intéressante de l'affaire. Le garde-fou de Grok inspecte le texte qui entre dans le modèle et celui qui en sort — mais pas le résultat de son propre code exécuté.

Les garde-fous statiques classent les entrées comme du texte ; ils ne les exécutent pas. Un attaquant expédie du texte chiffré accompagné du matériel de clé et d'une instruction de déchiffrement, et le modèle exécute ce déchiffrement dans son propre bac à sable d'exécution de code.

Les consignes demandant de traiter le texte chiffré avec PBKDF2 et AES-256-GCM passent le filtre comme une requête ordinaire : un classifieur sait les lire, pas les résoudre. Une fois déchiffrées, les vraies instructions reviennent au modèle sous forme de sortie de son propre outil — et il agit dessus sans qu'aucun filtre ne les ait jamais examinées.

Le chercheur résume la limite : « Ils sont dits statiques parce qu'ils ne lisent le contenu que comme du texte. Ils n'exécutent pas de code et ne déchiffrent rien. C'est la brèche que nous exploitons. »

Ce n'est pas propre à Grok

Adversa a employé une technique voisine contre Gemini, pour lui faire ignorer ses règles de sécurité internes. Le texte chiffré s'y déguisait en trace d'erreur, avec une seule règle : si le code échoue, lire le message d'erreur et agir dessus.

Résultat, selon la société : plusieurs paragraphes de contenu normalement bloqué (la fabrication d'une arme incendiaire) et, avec une charge modifiée, la restitution des instructions système de Gemini — y compris la consigne interdisant de les divulguer. Adversa n'a pas signalé le comportement à Google, les contournements de règles de sécurité ne relevant pas de son programme de divulgation.

À noter, et c'est honnête de leur part : Gemini est devenu ces dernières semaines nettement plus résistant à l'attaque, sans que la société puisse dire pourquoi — « mise à jour des filtres, changement de version du modèle, ou les deux ».

Le vrai enseignement

Adversa appelle la technique l'injection de contexte cryptographique, et l'inscrit dans un mouvement plus large : des attaques qui ne manipulent plus seulement le prompt, mais tout le contexte que le modèle traite comme sien — sorties d'outils, résultats d'exécution, états intermédiaires.

Cette surface d'attaque est bien plus vaste que ce qu'on étiquette traditionnellement comme « entrées du modèle », et la prochaine génération d'attaques émergera de là.

La leçon de fond, rappelée par Dan Goodin, est structurelle : les grands modèles de langage ne savent pas distinguer un contenu envoyé par un tiers non fiable d'une instruction saisie par l'utilisateur. Faute de pouvoir corriger cette cause racine, les éditeurs empilent des garde-fous — l'équivalent, pour un ingénieur routier, de poser une glissière dans un virage dangereux plutôt que d'en corriger le dévers.

Source

Ars Technica, « Grok exfiltrates user data when malicious instructions are encrypted », par Dan Goodin, 20 août 2026, à partir des travaux d'Adversa.