Faille Grok Gemini : des chercheurs en sécurité ont découvert une méthode permettant de faire fuiter des données personnelles depuis Grok, et dans une moindre mesure Gemini, en chiffrant les instructions malveillantes avant de les soumettre au modèle. La technique, révélée fin août 2026, contourne les filtres de sécurité qui ne peuvent pas lire du contenu chiffré.
Comment fonctionne l’attaque
Baptisée « Cryptographic Context Injection », cette attaque a été mise au jour par la société Adversa AI, sous la houlette du chercheur Rony Utevsky. Le principe : dissimuler des instructions dans une page web, sous forme de texte chiffré accompagné d’une clé de déchiffrement. Grok exécute lui-même le déchiffrement — via PBKDF2 et AES-256-GCM — dans son environnement Python, ce qui permet aux instructions malveillantes de passer sous le radar des classificateurs de contenu, incapables de lire un texte chiffré avant son exécution.
« Un chiffrement robuste ne peut pas être lu par un classificateur de contenu ni contourné au niveau des poids du modèle, ce qui force sa récupération via l’environnement d’exécution dont dépend l’attaque », explique Rony Utevsky. Une fois déchiffrées, les instructions poussent le modèle à construire des URL intégrant des données de session privées dans leurs paramètres, envoyées ensuite vers des serveurs contrôlés par l’attaquant.
Quelles données sont exposées
Selon les chercheurs, l’attaque a permis d’extraire le nom de l’utilisateur, sa localisation approximative, son niveau d’abonnement, le contenu de la conversation en cours, ainsi que son adresse IP dans certains cas. Sur Grok 4.5 Fast, le taux de réussite atteindrait 40 % sur une vingtaine de tentatives menées depuis juin, avec une reproduction confirmée le 19 août 2026. Des tests similaires sur Gemini, en mode Deep Thinking, ont d’abord fonctionné avant de voir leur efficacité chuter nettement à partir d’août.
xAI silencieux, aucun correctif à ce jour
Adversa AI affirme avoir signalé la faille à xAI dès le 3 juin 2026 via son programme de bug bounty sur HackerOne. L’entreprise d’Elon Musk aurait accusé réception sans fournir de détails ni de calendrier de correction, et serait restée silencieuse face à des relances envoyées les 4 et 10 août. Aucun avis de sécurité n’avait été publié au 20 août 2026, et aucun identifiant CVE n’a été attribué à cette faille. Google, de son côté, n’aurait pas été formellement notifié, les contournements de garde-fous n’étant pas toujours considérés comme éligibles à une divulgation classique.
Cette découverte fait écho à des travaux distincts menés par des chercheurs de UC Berkeley, de la Fondation Ethereum et de NYU Shanghai, publiés le 10 août 2026, qui montrent que des blocs de raisonnement chiffrés peuvent être réutilisés d’une session à l’autre pour dissimuler des injections de prompt. Plus de détails techniques sont disponibles dans l’article de The Hacker News et dans celui d’Ars Technica.
Qu’est-ce que la faille Grok Gemini par injection chiffrée ?
Il s’agit d’une technique où des instructions malveillantes chiffrées, dissimulées dans une page web, sont déchiffrées et exécutées par le modèle lui-même, contournant ainsi les filtres de sécurité qui ne peuvent pas lire de contenu chiffré.
Quelles données peuvent être volées via cette faille ?
Les chercheurs ont pu extraire le nom de l’utilisateur, sa localisation approximative, son niveau d’abonnement, le contenu de sa conversation et parfois son adresse IP.
xAI a-t-il corrigé cette faille ?
Non, au 20 août 2026 aucun correctif n’avait été publié malgré un signalement initial à xAI le 3 juin 2026 via HackerOne, et aucun identifiant CVE n’a été attribué.