Cryptographic Context Injection: Når krypterede angreb gør KI-sikkerhedsbarrierer blinde
Et nyt angreb, der systematisk blænder AI-sikkerhedsfiltre
Sikkerhedslandskabet omkring store sprogmodeller (LLMs) får jævnligt nye revner – men den seneste opdagelse fra sikkerhedsvirksomheden Adversa markerer et kvalitativt spring. Under betegnelsen Cryptographic Context Injection har forskere beskrevet en teknik, der ikke længere baserer sig på kluntede skadelige instruktioner, men på kryptografi: De egentlige angrebskommandoer overføres krypteret og dekrypteres først inden for modellens udførelsesmiljø – i et område, som klassiske sikkerhedsfiltre simpelthen ikke har indsigt i.
Konkret blev teknikken demonstreret mod Grok, LLM'en fra xAI. Det lykkedes forskerne at få AI-assistenten til at sende brugerdata – herunder navn, placering og chathistorik – til en ekstern server. Angrebet blev indberettet til virksomheden allerede i juni; på tidspunktet for offentliggørelsen var sårbarheden endnu ikke lukket. Lignende angrebsvektorer blev desuden observeret mod Microsofts 365 Copilot og Google Gemini, hvilket understreger problemets rækkevidde tydeligt.
Sådan fungerer Cryptographic Context Injection teknisk
For at forstå problemets omfang er det værd at kigge nærmere på mekanismen: Klassiske Prompt-Injection-angreb smugler skadelige instruktioner ind i indhold, som en AI-assistent skal behandle – for eksempel i e-mails eller websider, som modellen skal opsummere. LLMs kan strukturelt set ikke pålideligt skelne mellem, om en instruktion stammer fra den autoriserede bruger eller fra et manipuleret dokument. Det er ikke en fejl, men en fundamental egenskab ved træningsparadigmet: Modellen er optimeret til at følge instruktioner.
Hidtidige modforanstaltninger baserer sig på såkaldte statiske sikkerhedsfiltre (Guardrails), der undersøger indgående og udgående tekster for mistænkelige mønstre. Det er præcis her, Cryptographic Context Injection sætter ind:
- Angriberen placerer krypteret skadelig kode (ciphertext) på en webside – sammen med dekrypteringsnøglen og en instruktion om at dekryptere denne kode.
- AI-assistenten modtager den tilsyneladende harmløse opgave at opsummere siden.
- Modellen udfører dekrypteringen selvstændigt i sin code-execution-sandbox – med algoritmer som PBKDF2 og AES-256-GCM.
- Sikkerhedsfilteret ser på intet tidspunkt klarteksten af den skadelige instruktion, fordi det ikke eksekverer kode, men udelukkende klassificerer tekst.
- De dekrypterede instruktioner når modellen som dens eget Tool-Output – og udføres uden yderligere kontrol.
Den afgørende bemærkning fra Adversa-forskeren Rony Utevsky sætter grundproblemet på spidsen:
„Static safety guardrails classify inputs as text; they do not execute them. An attacker ships ciphertext along with the key material and an instruction to decrypt it, and the model runs that decryption inside its own code execution sandbox."
Det, Guardrail-scannerne mangler, er evnen til dynamisk kodefortolkning på inspektionstidspunktet. Den skadelige nyttelast er krypteret usynlig – indtil den gøres synlig af modellen selv.
Hvorfor dette er et strukturelt og ikke et produktspecifikt problem
Det ville være bekvemt at afvise disse hændelser som enkeltleverandørers fejltagelser. I virkeligheden afslører de en systemisk svaghed: LLMs kan ikke selv løse rodårsagsproblemet med Prompt Injections. Det er forankret i deres arkitektur. Enhver ny Guardrail-tilgang afhjælper én specifik angrebsvektor – og skaber dermed implicit forudsætningen for, at angribere udvikler den næste vektor.
Adversa beskriver denne sammenhæng præcist som en forskydning af angrebsvektoren: Ikke længere selve prompten, men hele den kontekst, som et LLM behandler som sit eget miljø – Tool-Outputs, Runtime-resultater, mellemtilstande – bliver til angrebsflade. Denne er langt større end det, der traditionelt betragtes som "modelinput".
Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, understreger i denne sammenhæng, at virksomheder, der integrerer KI-agenter i operative processer, aktivt må tage højde for denne strukturelle egenskab i deres risikoarkitektur: Sikkerhedsspørgsmålet er ikke alene et spørgsmål om det valgte model, men om systemarkitekturen omkring modellen – herunder de data, en agent har adgang til, og de handlinger, den selvstændigt må udføre.
Implikationer for virksomheder med KI-understøttet automatisering
For organisationer, der integrerer KI-assistenter og -agenter i deres workflows – hvad enten det drejer sig om e-mailhåndtering, dokumentbehandling eller kundekommunikation – giver disse erkendelser anledning til konkrete handlingsfelter:
- Principle of Least Privilege for KI-agenter: Agenter bør kun have adgang til de data og systemer, der er strengt nødvendige for deres specifikke opgave. Brede dataadgangsrettigheder multiplicerer skadesvirkningerne af vellykkede Prompt-Injection-angreb.
- Human-in-the-Loop for følsomme handlinger: Handlinger med ekstern virkning – afsendelse af e-mails, kald af eksterne URL'er, videresendelse af data – bør kræve et eksplicit bekræftelsestrin, som ikke kan omgås af modellen selv.
- Mistillid til eksternt indhold som designprincip: Alt indhold, som en KI-agent behandler fra internettet eller fra brugerdokumenter, bør systemarkitektonisk behandles som potentielt fjendtligt – ikke som en betroet udvidelse af brugerens opgave.
- Monitorering og anomalidetektion: Da Guardrails alene ikke yder fuldstændig beskyttelse, vokser betydningen af efterfølgende overvågning af agentadfærd: Hvilke eksterne forbindelser etablerer en agent? Hvilke data forlader systemet?
- Vendor-Due-Diligence og patch-cyklusser: Det forhold, at xAI i måneder efter indberetningen ikke havde stillet en løsning til rådighed, illustrerer: Virksomheder bør ved valg af leverandør også lægge vægt på reaktionshastigheden ved sikkerhedsindberetninger.
Kat-og-mus-spillet og hvad det betyder for KI-branchen
Den analogi, som sikkerhedsforskere anvender, er sigende: En sikkerhedsingeniør inden for vejbyggeri opsætter autoværn i en farlig kurve – frem for at rette kurven ud. Hvert nyt autoværn er en reaktion på den seneste ulykke; selve kurven forbliver farlig. Ved LLMs er kurven den fundamentale manglende evne til pålideligt at adskille kontekst og intention.
Det betyder ikke, at KI-agenter og -assistenter ikke kan anvendes produktivt og sikkert. Det betyder dog, at sikkerhed her ikke opnås ved at stole på modellen, men gennem arkitektonisk kontrol omkring modellen. Dr. Maik Bunzel, grundlægger og administrerende direktør for mabucon.eu, ser dette som en central designopgave for de kommende år: at bygge KI-systemer, hvis sikkerhedsegenskaber ikke afhænger af et enkelt Guardrails perfektion, men er sikret gennem redundante, systemiske kontroller.
Cryptographic Context Injection er i denne henseende ingen undtagelse – det er en vejviser. Adversa selv formulerer det præcist: Den næste generation af angreb vil opstå netop dér, hvor LLMs behandler eksterne Tool-Outputs, Runtime-resultater og mellемtilstande som en del af deres egen kontekst. Den, der i dag integrerer KI-agenter i produktionssystemer, bør kende denne angrebsflade og adressere den arkitektonisk.
Konklusion: Sikkerhed som systemdesign, ikke som produktegenskab
Opdagelsen af Cryptographic Context Injection tydeliggør en modenhed, der må tilskrives angribersiden i LLM-økosystemet: De tænker ikke længere i Prompts, men i systemer. Forsvarsiden – og det inkluderer eksplicit virksomheder, der anvender KI-produkter – må tage det samme skridt. Sikkerhed i KI-tidsalderen er ikke et feature, som en modeludbyder leverer. Det er en systemegenschaft, der opstår gennem bevidst design – og som kræver kontinuerlig stillingtagen til et hurtigt udviklende trusselsbillede.