見えない指示は、
暗号でフィルタをすり抜けた。
Grok（xAI）に、外部コンテンツへ仕込んだ指示を暗号化して安全フィルタを回避し、ユーザーのデータを外部へ送信させる手口が見つかった。Ars TechnicaとThe Registerが2026年8月20日に相次いで報じた、プロンプトインジェクションの新しい抜け道を図解する。
フィルタは「読めた指示」しか
見ていなかった
2026年8月20日、セキュリティメディアのArs TechnicaとThe Registerが相次いで、xAIのチャットボットGrokに見つかった脆弱性を報じた。攻撃者が外部コンテンツの中に埋め込んだ悪意ある指示をあらかじめ暗号化（難読化）しておくと、Grokの安全フィルタがそれを検知できないまま素通りし、モデル自身がその場で復号して指示に従ってしまう、というものだ。
直近数週間、Grokはブラウジングや外部連携などのエージェント機能を急ピッチで拡張してきた。同じ週にはTechCrunchが「Grokが意味不明な応答を返し続けている」という品質面の不具合も報じており、機能拡張の速度に安全性の検証が追いついていない様子がうかがえる。
| フィルタが想定していた攻撃 | 実際に通り抜けた手口 |
|---|---|
| 平文で「指示を無視して」と書く | 同じ指示を暗号化して埋め込む |
| 既知のインジェクション文言を検知 | 復号処理はモデル内部で起きるため検知対象外 |
| 入力段階でブロック | ブロックされず、実行後に流出が発覚 |
フィルタは、読めない指示を「指示ではない」と誤認した。
暗号化した指示は、
なぜフィルタを抜けるのか
仕組みは意外とシンプルだ。安全フィルタは「読める形の指示」を探して止める。読めなければ、そこに指示があることにすら気づけない。
一般的なプロンプトインジェクション対策は、AIに読み込ませる外部コンテンツの中に「これまでの指示を無視して」といった典型的な文言がないかを走査し、見つかれば処理を止める、という仕組みが中心だ。今回報じられた手口は、この悪意ある指示をあらかじめ暗号（cipher）で置き換えておくというもの。フィルタ側には意味の分からない文字列にしか見えないため素通りするが、Grok自身は与えられたタスク（要約・翻訳など）の一環としてその文字列を復号し、結果として指示に従ってしまう——と両メディアは説明している。
なぜ今、これが重要なのか
プロンプトインジェクション自体は目新しい概念ではない。目新しいのは、「読めない指示は安全」という前提を突いてきた点だ。Grokに限らず、この数ヶ月でOpenAI・Anthropic・Googleなど各社のエージェント機能はいずれも「外部コンテンツを読んで行動する」方向に拡張してきた。フィルタの多くは可読な文字列を対象にした検知に依存しており、暗号化・難読化という迂回路が一つのモデルで実証された以上、他の生成AIエージェントも同種の検証を迫られることになる。
誰に、どう効くか
影響の大きさは、Grokの使い方によってかなり変わる。
開発者・エージェント構築者
x.aiのAPIやGrok連携ツールを組んでいる場合、プロンプト内容だけを見るフィルタに頼らず、モデルの出力側で不審な外部送信やリンク展開が起きていないかを監視する仕組みを足すべきタイミング。
業務でGrokを使う人
社外文書や未知のWebページを要約・翻訳させる用途は、xAIの対応が明らかになるまで一旦見合わせるのが無難。特に機密情報を含む文書は要注意。
個人利用者
雑談や自分で書いた文章の校正など、外部コンテンツを読み込ませない使い方であれば、今回の手口による実害は限定的と考えられる。
次に何が起きるか
執筆時点で、xAIからの公式な修正発表は確認できていない。Ars Technicaの報道からは、同社が問題を把握し対応を検討している段階とみられるが、パッチの提供時期は明らかになっていない。
推奨アクションは3つ。① Grokのエージェント機能で外部コンテンツを扱っているワークフローを一時的に棚卸しする。② xAIの公式チャンネルで修正状況を確認する。③ 自社でGrok APIとの連携を持つ場合は、出力ログに不審な外部通信がないか点検する。
楽観できない理由、
しかし過大評価もできない理由
一方で留意点もある。今回の報道はセキュリティメディア2社の調査に基づくもので、xAI自身による脆弱性の重大度評価や、実際に被害が生じた件数は明らかになっていない。暗号化・難読化によるフィルタ回避という手法自体は、過去に他の生成AIサービスでも研究者から指摘されてきた既知のパターンであり、Grok固有の欠陥というより業界共通の課題が可視化された一例と捉えるほうが実態に近い。日常的な雑談用途での実害は限定的とみられ、過度に恐れる必要はない。