Im Kern verpackt die Technik die Anweisungen des Angreifers nicht als lesbaren Text, sondern als Chiffrat. Die präparierte Webseite enthält dazu ein verschlüsseltes JSON-Objekt, das Schlüsselmaterial und die Anweisung, den Inhalt zu entschlüsseln. Laut Adversa führt Grok diesen Schritt in seiner eigenen Python-Laufzeit zur Codeausführung aus.

Für die Wiederherstellung des Klartexts müssen PBKDF2 und AES-256-GCM ausgeführt werden. Ein Inhaltsklassifikator erledige das zum Zeitpunkt der Prüfung nicht, erklärte Adversa. Dadurch gelangen die Anweisungen nach Darstellung des Unternehmens nicht als von der Webseite geholter Inhalt in den Kontext des Modells, sondern als Ausgabe von Code, den das Modell selbst gerade ausgeführt hat. Adversa-Forscher Rony Utevsky sagte dazu, starke Verschlüsselung könne von einem Inhaltsklassifikator nicht gelesen und nicht durch im Modell hinterlegtes Wissen abgekürzt werden; sie zwinge daher zur Wiederherstellung über genau die Laufzeit, von der der Angriff abhänge.

Die entschlüsselten Anweisungen weisen den Agenten anschließend an, seinen privaten Sitzungskontext aufzulösen und ihn in eine URL einzubetten, die zum „Abrufen zusätzlichen Kontexts“ geöffnet werden soll. Ein Teil der Kette lässt das Modell einen zusätzlichen „Entschlüsselungsschlüssel“ konstruieren, der laut Adversa in Wahrheit gar kein Schlüsselmaterial ist, sondern eine Vorlagenzeichenkette, in die Name, Standort, Tarif und Chatverlauf eingesetzt werden. Grok ruft danach nach dieser Beschreibung sein eigenes Navigationswerkzeug auf und lädt die URL, wobei die Daten in den Abfrageparametern der Anfrage übertragen werden.

Utevsky zufolge waren die im Testszenario abgegriffenen Prompts auf die laufende Unterhaltung beschränkt; alles Extrahierte habe sich bereits im Kontext des Modells befunden. Nicht untersucht habe Adversa, ob sich auf andere Chats, Agentenspeicher oder weitere Inhalte zugreifen lässt. Das Unternehmen kritisiert den von xAI gebauten Rahmen, weil Anweisungen und Daten von einer nicht vertrauenswürdigen externen Webseite die Nutzung eines privilegierten, mit dem Internet verbundenen Werkzeugs steuern könnten. Zudem gebe es auf diesem Pfad nach den Beobachtungen von Adversa weder eine wirksame Ausgangssperre noch eine Einwilligungsabfrage oder eine erkennbare Trennung nach Herkunft.

Nach Angaben von Adversa wurde xAI am 3. Juni 2026 erstmals informiert, ebenso xAIs HackerOne-Bug-Bounty-Programm. xAI habe den Bericht bestätigt, aber weder Einzelheiten noch einen Zeitplan für Gegenmaßnahmen genannt. Weitere Kontaktversuche am 4. und 10. August seien unbeantwortet geblieben. Adversa hält die einsatzfähigen Nutzlasten nach eigenen Angaben zurück, um Ausnutzung zu vermeiden.

Die Firma beziffert ihre Erfolgsquote gegen Grok seit Juni auf 40 Prozent bei 20 Versuchen. Fehlversuche seien darauf zurückzuführen gewesen, dass Grok mit der Entschlüsselung kämpfte, nicht auf markierte Prompts oder Antworten. Google Gemini taucht in demselben Bericht ebenfalls auf: Dort soll ein einzelner Prompt in Deep-Thinking-Modus eine Nutzlast entschlüsseln, die in eine fingierte Python-Fehlermeldung mit einem vorgetäuschten Rückruf zur Deaktivierung von Sicherheitsregeln mündet. Adversa erklärte, der Vektor habe eingeschränkte Inhalte erzeugt und Systemanweisungen von Gemini offengelegt; Google sei nicht informiert worden, weil Jailbreaks nicht vom Offenlegungsprogramm abgedeckt seien.

Der Bericht steht zudem im Kontext weiterer Arbeiten. Alexander Panfilov und sieben Mitautoren schrieben in einem am 10. August 2026 veröffentlichten Vorabdruck, dass verschlüsselte Ketten-von-Gedanken-Blöcke von Anthropic, OpenAI und Google innerhalb des jeweiligen Anbieter-Ökosystems zwischen Sitzungen, Nutzern und Modellen austauschbar seien. Forscher von UC Berkeley, der Ethereum Foundation und NYU Shanghai berichteten außerdem auf der USENIX Security 2026, dass ein Zwei-Runden-Angriff gegen Grok 3 bei allen 12 getesteten bösartigen Absichten erfolgreich war, wenn das Modell erst eine Substitutionschiffre entschlüsselte und dann aufgefordert wurde, auf den entschlüsselten Text zu reagieren.

Kritik an xAIs Umgang mit Prompt-Injection-Meldungen gab es schon früher. Johann Rehberger demonstrierte im Dezember 2024 eine vollständige Kette zur Datenexfiltration gegen Grok in der X-iOS-App, bei der eine indirekte Prompt-Injektion den Assistenten veranlasste, Informationen aus früheren Chats an einen Drittserver zu senden. Rehberger sagte, alle von ihm gemeldeten Probleme seien als „Informativ“ geschlossen worden.