نحوه اجرای حمله تزریق کانتکست رمزنگاری‌شده و رمزگشایی پیلود
در گزارش اولیه، نرخ موفقیت این حمله اعلام نشده بود. با این حال، Adversa AI در توضیحات تکمیلی خود اعلام کرد که از ماه ژوئن تاکنون، این حمله را 20 بار آزمایش کرده و در 40 درصد از تلاش‌ها موفق بوده است. به گفته این شرکت، تلاش‌های ناموفق به دلیل شناسایی پرامپت یا پاسخ به‌عنوان محتوای مشکوک توسط سازوکارهای امنیتی نبوده، بلکه گراک در فرآیند رمزگشایی با مشکل مواجه شده است.
در حمله تزریق کانتکست رمزنگاری‌شده، دستورالعمل‌های مهاجم به‌جای متن خوانا، به‌صورت متن رمزنگاری‌شده در صفحه وب قرار می‌گیرند. این صفحه شامل یک JSON Object رمزنگاری‌شده، اطلاعات لازم برای تولید کلید و یک دستورالعمل برای رمزگشایی آن است. گراک این دستورالعمل را در محیط اختصاصی اجرای کد پایتون (Python) خود اجرا می‌کند.
بازیابی متن ساده (Plaintext) با اجرای الگوریتم PBKDF2 و رمزنگاری AES-256-GCM انجام می‌شود؛ فرآیندی که طبقه‌بندی‌کننده محتوا (Content Classifier) در مرحله بررسی اولیه صفحه وب انجام نمی‌دهد. در نتیجه، دستورالعمل‌های مخرب به‌جای آنکه به‌عنوان محتوای دریافت‌شده از وب وارد کانتکست شوند، در قالب خروجی کدی که مدل اجرا کرده است به کانتکست آن راه پیدا می‌کنند.
به گفته پژوهشگران Adversa AI، رمزنگاری قوی برای طبقه‌بندی‌کننده محتوا قابل پردازش نیست و نمی‌توان فرآیند رمزگشایی آن را صرفاً با اتکا به وزن‌های مدل (Model Weights) در خود مدل انجام داد. در نتیجه، بازیابی محتوای رمزنگاری‌شده باید از طریق محیط اجرای مورد استفاده در این حمله انجام شود. همچنین به گفته پژوهشگران، مشخص نیست که آیا استفاده از یک روش رمزگذاری ضعیف‌تر نیز می‌تواند فیلترهای امنیتی سامانه موردنظر را دور بزند یا خیر. پاسخ به این پرسش به بررسی و آزمایش‌های تجربی نیاز دارد.
استخراج کانتکست خصوصی و ارسال داده‌ها به مهاجم
پس از رمزگشایی، دستورالعمل‌های به‌دست‌آمده از عامل (Agent) می‌خواهند کانتکست خصوصی نشست را استخراج کرده و در یک URL قرار دهد. سپس عامل این URL را برای دریافت اطلاعات تکمیلی باز می‌کند.
در ادامه این زنجیره، مدل یک «کلید رمزگشایی» اضافی ایجاد می‌کند که در واقع هیچ کاربرد رمزنگاری ندارد. این مقدار در حقیقت یک رشته قالبی (Template String) است که اطلاعاتی مانند نام کاربر، موقعیت مکانی، نوع اشتراک و تاریخچه چت را در خود قرار می‌دهد. سپس گراک با استفاده از ابزار مسیریابی خود، URL موردنظر را باز کرده و این اطلاعات را در قالب پارامترهای کوئری به درخواست اضافه می‌کند.
در این مرحله از حمله تزریق کانتکست رمزنگاری‌شده، اطلاعات خصوصی موجود در کانتکست در اختیار یک ابزار متصل به اینترنت قرار می‌گیرند و از طریق درخواست ارسالی این ابزار، به سرور تحت کنترل مهاجم منتقل می‌شوند.
پژوهشگران توضیح داده‌اند که در سناریوی آزمایش‌شده، پرامپت‌های استخراج‌شده فقط به گفت‌وگوی فعلی محدود بودند و تمام اطلاعات به‌دست‌آمده نیز از قبل در کانتکست مدل وجود داشت. با این حال، عامل می‌تواند به هر داده‌ای که در کانتکست آن قرار دارد یا از طریق ابزارهای خود قادر به دریافت آن است، دسترسی پیدا کند.
Adversa AI بررسی نکرده است که آیا این تکنیک می‌تواند به گفت‌وگوهای دیگر، حافظه عامل یا سایر داده‌ها نیز دسترسی پیدا کند یا خیر. بنابراین، بر اساس نتایج این آزمایش‌ها نمی‌توان ادعا کرد که این روش می‌تواند تمام چت‌های کاربر را استخراج کند.
ضعف معماری عامل در کنترل دسترسی
Adversa AI معماری عامل (Agent) مورد استفاده xAI را یکی از عوامل اصلی ایجاد این ریسک می‌داند. به گفته این شرکت، این فریم‌ورک به دستورالعمل‌ها و داده‌های استخراج‌شده از یک صفحه خارجی و غیرقابل اعتماد اجازه می‌دهد اجرای یک ابزار دارای سطح دسترسی بالا و متصل به اینترنت را هدایت کنند.
همچنین این معماری می‌تواند متادیتای خصوصی نشست و تاریخچه مکالمه را به ورودی‌های ابزاری تبدیل کند که امکان برقراری ارتباط با مقصدهای خارجی را دارد. به گفته Adversa AI، در این مسیر سازوکار مؤثری برای محدود کردن انتقال داده‌ها به خارج از محیط وجود ندارد و همچنین رضایت کاربر پیش از انجام این انتقال دریافت نمی‌شود. این شرکت اعلام کرده است که در معماری مورد بررسی، تفکیک مشخصی میان منشأ داده‌ها و کانال دریافت دستورالعمل‌ها وجود ندارد.
در چنین شرایطی، دستورالعمل‌های تحت کنترل مهاجم می‌توانند بدون هیچ مانع مؤثری به یک ابزار دارای سطح دسترسی بالا برسند و از آن برای ارسال اطلاعات خصوصی به سرور تحت کنترل مهاجم استفاده کنند. از دید Adversa AI، این ضعف در معماری یکی از عوامل اصلی افزایش ریسک حمله تزریق کانتکست رمزنگاری‌شده به شمار می‌رود.
Adversa AI اعلام کرده است که نخستین گزارش این ضعف را در 3 ژوئن 2026 برای xAI ارسال کرده و در همان روز، جزئیات آن را از طریق برنامه باگ‌بانتی این شرکت در HackerOne نیز ثبت کرده است.
به گفته Adversa AI، xAI دریافت گزارش را تأیید کرده، اما درباره جزئیات فنی ضعف یا زمان‌بندی اجرای اقدامات کاهش ریسک (Mitigation) توضیحی ارائه نداده است. این شرکت اعلام کرده برای جلوگیری از سوءاستفاده، پیلودهای عملیاتی را منتشر نمی‌کند.
آزمایش مشابه روی جمنای
Adversa AI در بخش دیگری از این تحقیق، عملکرد جمنای (Gemini) گوگل در حالت تفکر عمیق (Deep Thinking) را با سناریویی مشابه حمله تزریق کانتکست رمزنگاری‌شده آزمایش کرده است. در این سناریو، یک پرامپت واحد مدل را وادار می‌کند یک پیلود رمزنگاری‌شده را رمزگشایی کند. پس از رمزگشایی، محتوای پیلود شامل یک خطای ساختگی پایتون، یک فراخوانی جعلی برای غیرفعال کردن سیاست ایمنی و پیشوندی برای استدلال اول‌شخص (First-person Reasoning Prefix) است. این موارد در کنار یکدیگر، مدل را از ابتدا به سمت تولید محتوایی هدایت می‌کنند که طبق سیاست‌های ایمنی نباید تولید شود.
Adversa AI اعلام کرده است که این بردار حمله توانسته محتوای محدودشده تولید کند و دستورالعمل‌های سیستمی جمنای را نیز بازتولید نماید. آزمایش‌ها روی Gemini 3 Flash (Web) و در نسخه اشتراکی این سرویس انجام شده است.
به گفته Adversa AI، گوگل از این مورد مطلع نشده است، زیرا جیل‌بریک (Jailbreak) در چارچوب برنامه افشای این شرکت قرار نمی‌گیرد. همچنین، نرخ موفقیت این روش در آزمایش روی عامل‌های گوگل تا ماه آگوست به‌طور محسوسی کاهش یافته بود؛ با این حال، مشخص نشد که این موضوع ناشی از به‌روزرسانی فیلترهای امنیتی بوده یا به تغییر نسخه مدل مربوط می‌شود.
نمونه آزمایش‌شده روی جمنای حدود پنج ماه پیش و تقریباً با همین ساختار منتشر شده بود. Utevsky در 11 مارس 2026، جزئیات این زنجیره را در وب‌سایت تحقیقاتی شخصی خود با عنوان تزریق پیلود رمزنگاری‌شده منتشر کرد. او در این گزارش اعلام کرد که این روش در هر پنج آزمایش مستقل با موفقیت بازتولید شده است.
نتایج آزمایش روی مدل‌های مختلف نشان داد که GPT-5 شرکت OpenAI نتوانست دستورالعمل‌های رمزگشایی را پردازش کند. در مقابل، Claude Sonnet 4.5 شرکت آنتروپیک پس از رمزگشایی پیلود، محتوای آن را به‌عنوان تزریق پرامپت (Prompt Injection) شناسایی کرد.
اقدامات کاهش ریسک حمله تزریق کانتکست رمزنگاری‌شده
Adversa AI معتقد است برای مقابله با این تهدید، نیازی نیست تغییرات مستقیماً در خود مدل اعمال شود. به گفته این شرکت، کنترل‌های امنیتی باید در لایه پیرامونی عامل اعمال شوند تا مشخص باشد عامل با چه هویتی فعالیت می‌کند، به چه منابعی دسترسی دارد، چه داده‌هایی را می‌تواند تغییر دهد و فعالیت‌های آن چگونه ثبت و قابل بررسی هستند. مهم‌ترین توصیه‌های امنیتی برای سازمان‌هایی که از عامل‌های هوش مصنوعی استفاده می‌کنند عبارتند از:
- جداسازی محتوای غیرقابل اعتماد: محتوای غیرقابل اعتماد باید در محیطی جدا و بدون دسترسی به ابزارها یا اطلاعات احراز هویت پردازش شود. سپس تنها داده‌های ساختاریافته و موردنیاز به کانتکست دارای دسترسی‌های ویژه منتقل شوند.
- کنترل اقدامات حساس و ارتباطات خروجی: پیش از برقراری ارتباط با مقصدهای جدید شبکه یا انجام اقداماتی مانند Push، Merge، انتشار (Publish) و نوشتن داده خارج از فضای کاری، باید مقصد و جزئیات هر درخواست به‌طور کامل مشخص و سپس بررسی و تأیید شوند. این بررسی باید بر اساس آرگومان‌های نهایی انجام شود، نه قالب‌های از پیش تعریف‌شده. در مواردی که تأیید انسانی وجود ندارد، سیستم باید این اقدامات را به‌طور کامل مسدود کند.
- ثبت فعالیت ابزارها در هر نشست: تمام فراخوانی‌های ابزار باید همراه با آرگومان‌های نهایی و مقادیر واقعی آن‌ها ثبت شوند. این اطلاعات برای شناسایی فعالیت‌های مشکوک و انجام بررسی‌های فارنزیک (Forensics) ضروری هستند و بدون آن‌ها امکان شناسایی یا بررسی دقیق رخدادها وجود ندارد.
- هشدار بر اساس توالی رخدادها: به‌جای تمرکز بر یک پیلود، مجموعه رخدادها را بررسی کنید. یک داده رمزنگاری‌شده و نامفهوم همراه با دستورالعمل رمزگشایی باید نشانه‌ای برای بررسی بیشتر باشد، نه مبنایی برای مسدودسازی خودکار.
- بررسی منشأ کانتکست هنگام انتخاب راهکار: سازمان‌ها باید هنگام انتخاب و خرید راهکارهای هوش مصنوعی، بررسی کنند که آیا خروجی ابزارها از دستورالعمل‌های عامل تفکیک می‌شود یا خیر و این موضوع را به‌عنوان یکی از معیارهای انتخاب راهکار در نظر بگیرند.
در مجموع، حمله تزریق کانتکست رمزنگاری‌شده نشان می‌دهد که اتکا به فیلترکردن پرامپت‌های مخرب به‌تنهایی برای محافظت از عامل‌های متصل به اینترنت کافی نیست. کنترل هویت و سطح دسترسی عامل، جداسازی کانتکست‌ها و محدودسازی انتقال داده به خارج از محیط باید در سطح معماری سیستم نیز در نظر گرفته شوند.
پژوهش‌های مرتبط با حملات تزریق پرامپت
پژوهش‌های پیشین نیز نشان داده‌اند که محتوای رمزنگاری‌شده می‌تواند در اجرای حملات تزریق پرامپت علیه مدل‌های هوش مصنوعی مورد سوءاستفاده قرار گیرد.
طبق گزارش پژوهشگران، بلوک‌های رمزنگاری‌شده زنجیره استدلال (Encrypted Chain-of-Thought Blocks) که آنتروپیک، OpenAI و گوگل در اختیار کلاینت‌های API قرار می‌دهند، در اکوسیستم هر ارائه‌دهنده میان نشست‌ها، کاربران و مدل‌های مختلف قابل استفاده مجدد هستند.
به گفته پژوهشگران، مهاجمان می‌توانند از این ضعف برای اجرای تزریق پرامپت به‌صورت پنهان و قراردادن پیلودهای مخرب درون بلوک‌های رمزنگاری‌شده استفاده کنند.
در پژوهشی جداگانه، پژوهشگران یک حمله دومرحله‌ای به گراک 3 را بررسی کردند که در هر 12 سناریوی مخرب آزمایش‌شده با موفقیت همراه بود. در این حمله، مدل ابتدا یک رمز جایگزینی (Substitution Cipher) را رمزگشایی کرده و سپس براساس متن رمزگشایی‌شده اقدام می‌کند. اما بدون اجرای مرحله دوم، استفاده از همان رمز در هر 12 آزمایش ناموفق بود.
xAI پیش‌تر نیز به دلیل نحوه برخورد با گزارش‌های مربوط به تزریق پرامپت در گراک با انتقادهایی مواجه شده بود. یک پژوهشگر امنیتی در دسامبر 2024، زنجیره‌ای کامل برای استخراج داده (Data Exfiltration) از گراک در نسخه iOS اپلیکیشن X را به نمایش گذاشت. در این حمله، یک تزریق پرامپت غیرمستقیم (Indirect Prompt Injection) باعث شد اطلاعات چت‌های قبلی کاربر در گراک به یک سرور متعلق به شخص ثالث ارسال شود.
به گفته این پژوهشگر، xAI گزارش‌های او درباره این موارد را صرفاً اطلاع‌رسانی تلقی کرده و آن‌ها را با عنوان «Informational» بسته است. او در واکنش به این تصمیم تأکید کرد که افشای پیام‌های چت و آدرس IP کاربر نمی‌تواند صرفاً یک موضوع اطلاع‌رسانی محسوب شود و باید از نظر شدت آسیب‌پذیری مورد ارزیابی قرار گیرد.
