Grok može biti prevaren da otkrije podatke o korisniku

Vesti, 27.08.2026, 12:00 PM

Istraživači su demonstrirali novu tehniku prompt injection napada koja omogućava skrivanje zlonamernih instrukcija od zaštitnih mehanizama AI sistema tako što se one najpre šifruju, a zatim navede sam AI da ih dešifruje pomoću svojih alata. Nakon dešifrovanja, AI može da protumači skrivene instrukcije kao legitimne i izvrši ih.

Tehnika je nazvana Cryptographic Context Injection, a istraživači su je testirali na AI sistemima Grok i Gemini.

Prompt injection napadi zasnivaju se na tome da napadač sakrije instrukcije u sadržaju koji AI obrađuje, na primer na veb stranici, u dokumentu ili emailu. Kada korisnik zatraži od AI asistenta da pročita ili sažme takav sadržaj, model može da pogrešno protumači instrukcije napadača kao deo zadatka koji treba da izvrši.

Problem postoji zato što AI modeli ne mogu uvek pouzdano da razlikuju instrukcije koje dolaze od korisnika od instrukcija koje se nalaze u sadržaju koji obrađuju. AI kompanije zato koriste različite zaštitne mehanizme koji pokušavaju da prepoznaju i blokiraju ovakve pokušaje.

Cryptographic Context Injection uvodi još jedan korak. Umesto da zlonamerne instrukcije ostavi u čitljivom obliku, napadač ih šifruje. Zaštitni sistem zato u trenutku početne provere ne vidi instrukcije koje bi mogao da prepozna kao opasne.

AI se zatim navodi da pomoću svog alata za izvršavanje koda dešifruje sadržaj. Tek nakon toga skrivene instrukcije postaju čitljive.

Problem je u tome što su u tom trenutku već prošle početne bezbednosne provere, pa AI može da ih protumači kao legitimni deo konteksta i postupi prema njima.

Princip se može uporediti sa skrivanjem poruke na jeziku koji bezbednosna kontrola ne razume: poruka prođe kontrolu, a zatim je AI sam prevede i pročita.

Istraživači su tehniku testirali na Grok-u i Gemini-ju, ali rezultati nisu bili isti.

U slučaju Grok-a, prema istraživačima, bilo je moguće doći do podataka kao što su ime korisnika, približna lokacija, vrsta pretplate i istorija razgovora. Napad je mogao da bude pokrenut tokom naizgled bezazlenog zadatka, poput zahteva da AI sažme sadržaj određene veb stranice.

Kod Gemini-ja istraživači su tehniku koristili za zaobilaženje bezbednosnih ograničenja i generisanje sadržaja koji bi model u normalnim okolnostima odbio da napravi.

Istraživači nisu objavili sve tehničke detalje napada. Oni navode da su problem u Grok-u prijavili kompaniji xAI u junu 2026. godine, ali da kompanija nije preduzela odgovarajuće mere.

Google je, prema istraživačima, uveo poboljšanja zaštite Gemini-ja, ali problem još nije u potpunosti rešen.

Istraživanje ponovo ukazuje na problem koji postaje značajniji kako AI asistenti dobijaju pristup sve većem broju alata i podataka.

Prompt injection više ne mora samo da navede model da napiše nešto što ne bi trebalo. Ako AI može da pristupa internetu, izvršava kod ili koristi podatke korisnika, instrukcija sakrivena u sadržaju koji obrađuje može imati znatno ozbiljnije posledice.

Zbog toga korisnici treba da budu posebno oprezni kada AI asistentu daju pristup emailu, cloud servisima, repozitorijumima koda i drugim izvorima osetljivih podataka, kao i kada od njega traže da obrađuje nepoznate veb stranice, dokumente i linkove.