Encrypted Prompts Bypass Grok’s Guardrails

•加密上下文注入（Cryptographic Context Injection）是一種進階的提示注入攻擊，它利用大型語言模型（LLM）難以區分自然語言上下文中的被動資料與可執行指令的根本弱點。
•此類攻擊可能導致專有模型推理過程的洩露、大規模個人身份資訊（PII）及憑證的提取，甚至揭示隱藏在模型推理過程中的危險資訊。
•近期研究揭示，專有LLM API中用於保護知識產權和限制資訊洩露的加密推理追蹤（思維鏈），在同一供應商的生態系統內，不同會話、使用者和模型之間具有相容性和可互換性，這使得攻擊者能夠透過嵌入惡意指令進行「解密越獄」和「隱形提示注入」。
•除了加密上下文注入，Grok也曾面臨其他資料外洩事件，例如其Grok Build CLI工具被發現未經授權上傳完整的Git儲存庫，包括敏感憑證和提交歷史，至Google Cloud Storage。
•為防範此類攻擊，業界建議採用多層次防禦策略，包括實施資料遺失防護（DLP）系統、嚴格的輸入淨化、強健的提示架構、會話隔離以及持續的紅隊測試。

📊 競品分析▸ Show

特性/模型	Grok 4 (無護欄)	Grok 4 (基本護欄)	GPT-4o
安全評分 (提示注入抵抗)	0.3%	90.74%	33.78%
安全性評分 (內容安全)	0.42%	98.81%	18.04%
企業適用性 (無護欄)	不適用	仍有業務對齊問題	基礎安全行為
攻擊難度	極易越獄	顯著改善	較高

加密上下文注入利用大型語言模型（LLM）在處理自然語言時，難以可靠地區分被動資料與可執行指令的根本弱點。
攻擊者將惡意指令嵌入加密內容中，當LLM處理這些內容時，可能會將其誤解為合法指令並執行。
一項近期研究揭示，專有LLM API中用於保護知識產權和限制資訊洩露的加密推理追蹤（思維鏈），在同一供應商的生態系統內具有跨會話、使用者和模型的相容性與可互換性。
攻擊者可利用此漏洞，將包含惡意指令的加密推理追蹤注入較弱的模型中，迫使其以明文形式解碼並輸出，從而實現「隱形提示注入」或資料外洩。
Grok的底層架構採用了類似GPT模型的解碼器專用Transformer架構，並結合了「專家混合模型」（Mixture-of-Experts, MoE）框架。MoE將模型劃分為多個「專家」子網路，每個專家專門處理不同類型的資料或任務，並由一個門控網路根據輸入選擇性地啟動專家。
防禦措施包括在LLM輸出路徑上部署資料遺失防護（DLP）系統，該系統可分析輸出並根據風險評分對敏感資料進行遮蔽或編輯。此外，輸入淨化（如去除隱藏文字、過度格式、HTML標籤等）和建立強健的提示架構以區分系統指令與使用者輸入也至關重要。

未來LLM的安全防護將需要更深層次的架構改革，而非僅依賴於提示工程或內容過濾。

由於提示注入和上下文注入利用了LLM處理語言的根本方式，僅靠表面防護不足以解決問題，需要模型層面的資料與指令分離機制。

企業採用AI代理（AI Agents）將面臨更高的資料外洩風險，特別是當代理與外部資料源和工具整合時。

AI代理的自主性及其與外部系統的互動能力，使其成為間接提示注入和資料外洩的關鍵目標，惡意指令可隱藏在代理處理的內容中。

針對LLM的紅隊測試（Red Teaming）將變得更加複雜和必要，需要模擬多階段、跨模型的認知架構攻擊。

傳統的紅隊測試可能無法捕捉到利用認知架構或加密推理追蹤的複雜攻擊，需要更精密的測試方法來發現這些新型漏洞。

2023-11

xAI 推出 Grok 聊天機器人

2024-03

Grok-1 開源發布

2025-02

Grok-3 發布

2025-07

Grok 4 發布，隨後研究指出其在無護欄情況下極易受到提示注入攻擊

2026-07

Grok Build CLI 工具被揭露未經授權上傳完整的Git儲存庫，導致資料外洩

2026-08

研究揭示透過利用專有LLM API中加密推理追蹤的相容性，可進行「隱形提示注入」和資料提取

加密提示繞過 Grok 的安全護欄