Un simple « résume cette page » suffit à faire fuiter votre conversation avec Grok

Un « résume cette page » qui coûte une conversation entière

Le 3 juin 2026, la société de recherche Adversa AI signale une faille à xAI, ainsi qu'au programme de primes HackerOne de l'éditeur le jour même. Elle obtient un accusé de réception, sans précision ni calendrier de correction. Deux relances, les 4 et 10 août, resteront lettre morte. Le 19 août, l'attaque fonctionne toujours contre le produit en production.

Ce qu'elle permet mérite qu'on s'y arrête. Un utilisateur demande à Grok de résumer une page web d'apparence ordinaire. À l'issue de l'opération, son nom, sa localisation approximative, son niveau d'abonnement et l'intégralité des questions posées dans la conversation en cours ont été transmis au serveur de celui qui a rédigé la page. Sans clic, sans confirmation, sans le moindre avertissement à l'écran.

Le déroulé de l'attaque

Adversa AI a publié ses travaux le 20 août 2026 sous le nom de Cryptographic Context Injection (injection de contexte cryptographique), en s'abstenant de diffuser les charges utiles opérationnelles. Malwarebytes a relayé la divulgation le 25 août. Une seconde démonstration visait Gemini, cette fois en injection directe : le texte déchiffré prenait la forme d'un faux message d'erreur Python, ce qui a suffi à obtenir du modèle des contenus qu'il refuse d'ordinaire, ainsi que ses instructions système confidentielles. Google n'a pas été prévenu, les contournements de garde-fous étant exclus du périmètre de son programme de divulgation.

Le mécanisme n'a rien d'exotique, et c'est précisément ce qui le rend instructif. Les garde-fous, autrement dit les filtres qui inspectent ce qui entre dans un modèle et ce qui en sort, savent classer du texte, mais ils ne l'exécutent pas. Or la page piégée contient un objet JSON chiffré en AES-256-GCM sous une clé dérivée par PBKDF2, deux briques cryptographiques parfaitement standard. Tout se trouve à découvert, le matériel de clé compris, sauf que retrouver le texte clair suppose d'exécuter réellement l'algorithme, ce qu'aucun classifieur de contenu ne fait au moment de l'inspection. Là réside la différence avec les anciennes ruses fondées sur le base64 ou la substitution de lettres, qu'un modèle décode de tête et qu'un filtre apprend donc à repérer. Un chiffrement solide, lui, ne se raccourcit pas dans les poids du modèle : le déchiffrement doit obligatoirement emprunter l'interpréteur de code. Et à cet instant, les instructions de l'attaquant ne se présentent plus comme du texte récupéré sur le site d'un inconnu, mais comme la sortie d'un programme que le modèle vient d'exécuter lui-même. Il les traite avec la confiance qu'un logiciel accorde à son propre état interne, et non avec la méfiance réservée aux contenus externes. Adversa parle à ce sujet d'un canal de blanchiment de confiance. Le parallèle historique est l'injection SQL, où un système ne distingue plus la part de la requête qu'il a écrite de celle qu'un tiers lui a soufflée.

• L'exfiltration avance masquée. Les instructions déchiffrées demandent à l'agent de fabriquer une « clé » supplémentaire qui n'en est pas une : sa valeur est un gabarit rempli du contexte privé de la session, ensuite glissé dans une URL que l'agent est prié d'ouvrir pour « récupérer du contexte supplémentaire ».
• C'est l'outil de navigation de Grok lui-même qui expédie les données, en paramètres de requête, via une action privilégiée connectée à Internet. Aucune barrière de sortie, aucune demande de consentement sur ce trajet.
• Face à Gemini, le taux de réussite a nettement chuté au cours de l'été. Les chercheurs se refusent à en désigner la cause, faute de pouvoir trancher entre une mise à jour des filtres et un changement de version du modèle.

La portée réelle

Les premières victimes potentielles sont les utilisateurs de la fonction de navigation de Grok, dont un échange entier peut basculer chez un inconnu pour avoir demandé un résumé. Questions de santé, dossiers juridiques, notes stratégiques : tout ce que contient la conversation est concerné, et l'éditeur dispose du rapport depuis bientôt trois mois sans avoir annoncé de correctif. En entreprise, pourtant, l'assistant conversationnel n'est pas le sujet le plus préoccupant. Adversa le souligne, chacune des conditions de l'attaque se trouve renforcée chez un agent de développement, d'exploitation ou de finance : l'exécution de code n'y est plus une exception mais la raison d'être du produit, les appels réseau sortants relèvent de la routine, et les identifiants à portée valent infiniment plus qu'une poignée de métadonnées de session. Si l'un de vos agents résume un fil de tickets dans le contexte même où il dispose d'un accès en écriture sur vos dépôts, la chaîne d'attaque est déjà en place chez vous. Reste le déplacement de fond, celui à emporter en revue d'architecture. Les défenses ont réellement progressé contre la forme classique du prompt injection, cette instruction posée en clair dans un document ou une page. Ici, rien de lisible n'entre jamais dans l'invite. Ce qui est manipulé, c'est le contexte élargi que le modèle considère comme sien, à savoir les sorties d'outils, les résultats d'exécution et les états intermédiaires. Cette surface dépasse de très loin ce que le secteur appelle encore les « entrées du modèle », et c'est là que se jouera la prochaine génération d'attaques.

Les bons réflexes

1. Cloisonnez le contexte qui lit du contenu non fiable, en le privant d'outils et d'identifiants. Qu'il ne renvoie que des données structurées, car un agent qui résume la page d'un inconnu dans la session où il peut pousser du code n'a aucun moyen de séparer les deux missions.
2. Soumettez les actions sortantes et irréversibles à une validation portant sur des arguments entièrement résolus. L'attaque devient visible au moment où l'agent demande à ouvrir une URL, à condition que le relecteur voie l'adresse réelle, données de l'utilisateur déjà interpolées.
3. Déclenchez vos alertes sur l'enchaînement plutôt que sur la charge utile. Contenu non fiable ingéré, code exécuté, puis contact avec un hôte étranger au graphe de dépendances : c'est cette séquence qui fait signal, un blob chiffré isolé ne justifiant jamais un blocage.

À retenir

Aucun de ces garde-fous ne se règle dans le modèle. Tous se situent dans le harnais qui l'entoure : l'identité sous laquelle il s'exécute, ce qu'il peut atteindre, ce qu'il peut écrire, ce que vous pourrez rejouer ensuite. D'où une question à poser à vos fournisseurs avant le prochain renouvellement : les sorties d'outils sont-elles séparées du canal d'instructions, et l'agent sait-il refuser un appel d'outil dont les arguments proviennent d'un contenu récupéré en ligne ? Peu d'entre eux savent y répondre aujourd'hui, et c'est pourtant cette réponse qui décide si « résume cette page » reste bien une demande de résumé. L'étude d'Adversa AI détaille les deux démonstrations et la chronologie de la divulgation, tandis que l'article CipherChat de 2023 documente les techniques de chiffrement faible que celle-ci laisse derrière elle.