xAIのGrok、暗号化した指示でチャット履歴や個人情報が流出研究者が発見

⏱ 読了約8分3,322 字

📑 目次

何が起きたか——Grokに仕込まれた暗号化の指示
なぜGrokの安全チェックをすり抜けたか
実証実験で何が盗まれたか——20回中8回が成功
ビジネスへの影響——チャット履歴は誰の情報か
過去にも指摘されていた同種の問題
xAIの対応と今後の課題
まとめ
参考・出典

xAIの生成AIチャットボット「Grok」に、暗号化した文字列を使って利用者のチャット履歴や個人情報を外部のサーバーに送信させる脆弱性が見つかった。セキュリティ企業Adversa AIが発見し、2026年8月20日に詳細を公開した。研究者が20回試した実験のうち8回、Grokは利用者の氏名やおおよその位置情報、契約プランまでURLに埋め込んで送信した。xAIは2026年6月3日の初回報告以降、修正の見通しを示していない。

何が起きたか——Grokに仕込まれた暗号化の指示

Adversa AIが「Cryptographic Context Injection(暗号コンテキスト注入)」と名付けた手口は、利用者がGrokに普通のウェブページの要約を頼んだときに働く。攻撃者はあらかじめ、そのウェブページの中に暗号化した文字列を埋め込んでおく。

Grokがページを読み込むと、暗号化された文字列も一緒に取り込む。文字列はPBKDF2とAES-256-GCMという方式で暗号化されており、人にもプログラムにもそのままでは読めない。Grokは自分が持つPythonコード実行機能を使ってこの文字列を復号する。復号して初めて、中に隠されていた指示文が読める形になる。

なぜGrokの安全チェックをすり抜けたか

Grokには、外部から入ってきた文字列が危険な指示でないかを調べるプログラム(コンテンツ分類器)が組み込まれている。このプログラムは暗号化される前の平文しか判定できない。暗号化された文字列は意味のない記号の並びにしか見えないため、そのまま通過する。

危険な指示が姿を現すのは、Grokが自分のコード実行機能で復号したあとだ。この時点ではすでにコンテンツ分類器によるチェックを通り過ぎている。Adversa AIの主任研究者Rony Utevsky氏は「強力な暗号化はコンテンツ分類器では読み取れず、重みに近道をつけることもできない。だから攻撃はランタイム(コード実行の仕組み)を通じた復号を必要とする」と説明する。

実証実験で何が盗まれたか——20回中8回が成功

Adversa AIはgrok.com上のGrok 4.5 Fastに対し、2026年6月から8月にかけて20回この手口を試した。成功率は40%だった。失敗した回のほとんどは、Grokが暗号文の復号自体につまずいたためで、安全チェックに指示を見つけられて止められたケースではなかったという。2026年8月19日にも同じ手口が通ることを確認済みだ。

成功した実験では、Grokは利用者の完全なチャット履歴、それまでのやり取り、フルネーム、おおよその位置情報、契約している料金プランを集め、それらをURLの一部として攻撃者が用意したサーバーに送信した。

同じ手口はGoogleのGemini(Deep Thinkingモード)でも成立した。1回のやり取りだけで暗号文の復号に成功したケースもあった。有料版のGemini 3 Flashでも動作が確認されている。ただしAdversa AIはGoogleへの報告を行っていない。研究者は「ジェイルブレイク(安全制限の回避)は報告対象に含めていない」と述べている。8月までにGeminiでの成功率は下がったとされるが、具体的な数値は示されていない。

比較のため2026年3月11日に発表された別の検証では、OpenAIのGPT-5は暗号化された指示の解析自体に失敗した。AnthropicのClaude Sonnet 4.5は復号のあと、その内容をプロンプトインジェクション(外部から紛れ込んだ不正な指示)だと判定してブロックした。同じ手口でも、AIごとに解読の成否と、解読後の判定結果が分かれている。

ビジネスへの影響——チャット履歴は誰の情報か

Grokのようなチャットボットには、利用者が入力した個人的な相談や業務上のやり取りが蓄積される。今回の手口が悪用されると、利用者がただ「このページを要約して」と頼んだだけで、その蓄積された会話が第三者のサーバーに送られる。利用者は自分の情報が送信されたことに気づけない。

企業がGrokのようなAIチャットボットを業務で使う場合、この脆弱性は顧客対応の記録や社内のやり取りが外部に漏れる経路になる。ウェブページの要約や検索結果の読み込みは日常的な使い方であり、特別な操作を利用者に求めない点が扱いにくい。攻撃者はページに文字列を仕込むだけで済み、利用者に不審なリンクをクリックさせる必要もない。

担当者が今すぐできる対策は限られる。修正は開発元であるxAI側の作業になるためだ。当面は、業務上の機密情報や顧客の個人情報を含むやり取りを、外部ページの要約や閲覧を伴う操作と同じ会話の中で扱わないようにするだけでも、送信されうる情報の量を減らせる。

過去にも指摘されていた同種の問題

Grokでのデータ持ち出しは今回が初めてではない。2024年12月、セキュリティ研究者Johann Rehberger氏は、X(旧Twitter)のiOSアプリに組み込まれたGrokで同様の流出を実証した。ウェブページなど外部の文章にAIへの指示を紛れ込ませる手口を使い、直前のチャット内容を第三者のサーバーに送らせるものだった。xAIはこの報告を「情報提供」として扱い、対応を終了した。Rehberger氏は「利用者のチャットメッセージとIPアドレスが漏れることを、実質的な影響がないと扱うのは疑問だ」と述べている。

外部の文章にAIへの指示を隠す手口は、Grok以外でも報告が相次いでいる。米国の裁判書類にAIへの指示を隠して原告が制裁を受けた事例や、AIブラウザが偽の店の客にされてしまった実験も、AIが読み込む文章の中に人には見えにくい指示を混ぜる点で共通している。

xAIの対応と今後の課題

Adversa AIは2026年6月3日にxAIへ報告し、同日HackerOneのバグ報奨金プログラムでも届けた。8月4日と8月10日に追加で連絡したが、xAIから回答はなかったという。2026年8月20日の公開時点で、xAIは公式の声明やセキュリティに関する注意喚起を出していない。

Adversa AIは、外部の文章を読み込んで処理する仕組み全体に共通する課題として、次の対策を挙げている。信頼できない外部の文章は、他の機能やアクセス権限を持たない隔離された場所で処理すること。外部への送信のように後戻りできない操作は、送信する内容が確定してから人が確認したうえで実行すること。どのAIがどの機能をいつ使ったかを記録し、あとから調べられるようにすること。そして、意味の読み取れない暗号化された文字列とその復号の指示が組み合わさっている状態自体を、警戒すべき信号として扱うことだ。