8月24日、The Cyber Expressが「Encrypted Prompts Defeat Grok and Gemini Guardrails; Chat Histories Stolen」と題した記事を公開した。セキュリティ研究機関Adversa AIが、暗号化されたプロンプトを用いてGrokおよびGeminiのAIガードレールを突破し、ユーザーのチャット履歴をゼロクリックで窃取する手法を実証したという内容だ。
まず押さえるべき核心：ゼロクリックでチャット履歴が盗める
今回の研究で最も深刻な実証は、ユーザーが何も操作しなくても成立する情報窃取だ。攻撃者が制御するWebページにアクセスするだけで、Grokのエージェント機能がそのページを解析し、暗号化された悪意ある指示を内部で復号・実行してしまう。この「ゼロクリック」という性質が、従来のプロンプトインジェクション攻撃と一線を画す点である。
攻撃の流れは以下のとおりだ。
- 攻撃者が制御するWebページに、暗号化されたJSONを埋め込む
- Grokのエージェント機能がそのサイトを解析する際、暗号文を取得
- 内部で復号された指示が実行され、ユーザー名・おおよその位置情報・サブスクリプション階層・完全な会話履歴が攻撃者のURLへ送信される
- ユーザーには何の警告も表示されない
この攻撃が成立した事実は、8月19日時点でも再現可能だったとAdversa AIは確認している。
暗号化でガードレールを"見えなくする"
攻撃手法の核心は単純だ。AIの安全フィルターはテキストを読む。テキストでなければ読めない。
Adversa AIが「Cryptographic Context Injection（暗号化コンテキスト注入）」と名付けたこの攻撃は、AES-256-GCMという強力な認証付き暗号化を悪用する。ガードレールが検査する段階では暗号文のみが存在し、そこには検知すべき悪意ある指示文字列が一切含まれていない。モデル自身が内部のコード実行サンドボックスで復号を行い、復元された平文を「外部から来た信頼できないコンテンツ」ではなく「信頼された中間出力」として扱ってしまう。
Adversa AIはこの構造について、「スキャナーが必要とする要素はすべてページ上に存在するが、それを復元するにはPBKDF2とAES-256-GCMを実行する必要がある」と説明している。
従来の"暗号ジェイルブレイク"との違い
過去にも暗号ベースのジェイルブレイク手法は存在した。代表的なものにCipherChatやCodeChameleonがあるが、これらは換字式暗号やBase64エンコードを使っており、LLMが推論中にネイティブで復号できるものだった。
今回の手法が異なる点は、強力な認証付き暗号化が"実行"を必要とすることだ。実行するということは、ペイロードの出所が洗浄（ロンダリング）されることを意味する。ガードレールがチェックする前に、モデルがすでに「信頼できる出力」として処理してしまっているのである。
Geminiへの攻撃と成功率の推移
Gemini 2.0 Flash（有料プラン、Deep Thinkingモード）への攻撃では、有害物の製造手順をモデルに出力させることと、モデル自身のシステムプロンプトを再現させることに成功した。
ただしAdversa AIによれば、Geminiに対する攻撃の成功率は6月以降に急落し、8月までにさらに低下しているという。フィルターの更新なのかモデルバージョンの変更なのか、原因は特定できていないとしている。このため、「Geminiのガードレールが突破された」という事実は確認されているものの、現時点での再現性は限定的と見るべきだ。
※なお、元記事における対象モデルの表記は原文に準拠している。読者は記事公開時点（2025年8月）のモデルバージョンを念頭に置いて参照されたい。
ベンダーの対応は消極的
ベンダー側の反応は芳しくない。
- xAI（Grok）：Adversa AIは6月3日に報告し、初期確認を受けたものの、8月4日・10日のフォローアップに対して実質的な返答はなかった。8月19日時点でも攻撃は再現可能だったと確認されている。
- Google（Gemini）：GoogleのAI脆弱性報奨プログラム（AI VRP）は、プロンプトインジェクション・ジェイルブレイク・アライメント問題を対象外としており、製品内フィードバックチャネルへの誘導にとどまる。そのため、Adversa AIはGeminiの問題を正式に報告さえしていない。
この状況は、AIセキュリティ研究における協調的開示（Coordinated Disclosure）の枠組みが大手モデルプロバイダーではまだ機能していないことを示している。
防御側にとっての構造的問題
今回の攻撃が示す問題は、単一の実装バグではなく構造的なものだ。
多くの企業が展開しているコンテンツベースのガードレールは、モデルがすでに「信頼できる出力」として処理した後にしか存在しないペイロードを検査できない。この問題はOWASPのLLMセキュリティガイダンスでも指摘されており、Microsoftが2025年5月に公開したAIエージェントフレームワークにおけるプロンプトインジェクション対策に関する研究とも共鳴する内容だ。
今後の注目点は以下の3点だ。
- xAIが修正プログラムを提供するか、または報告内容を正式に認めるか
- GoogleがAI VRPのスコープをガードレールバイパスまで拡大するか
- AIセキュリティベンダーが検知の対象を入力テキストからサンドボックス実行モニタリングへ移行するか
※Adversa AIについて：イスラエルを拠点とするAIセキュリティ専門企業。敵対的機械学習（Adversarial ML）・AIレッドチーミングを専門とし、大手ベンダーのAIシステムに対する脆弱性研究を継続的に発表している。今回の研究はAdversa AIの公式ブログおよびThe Cyber Express経由で公開されたものであり、同社の研究実績は複数のセキュリティメディアで取り上げられている。
詳細はEncrypted Prompts Defeat Grok and Gemini Guardrails; Chat Histories Stolenを参照していただきたい。
