Un investigador de Adversa AI ha demostrado una vulnerabilidad Grok zero-click que roba el historial completo de chat mediante una técnica bautizada como Cryptographic Context Injection. El ataque, reproducido en sistemas de producción de xAI y validado técnicamente contra Gemini de Google, no requiere clic, aviso ni interacción por parte de la víctima. Basta una petición aparentemente inocente de ‘resumir esta página’ para que el agente descifre un payload cifrado en AES-256-GCM y envíe datos privados del usuario a un servidor controlado por el atacante.
Lo he seguido de cerca durante las últimas semanas. Y le adelanto que la noticia no es solo un fallo de seguridad de un modelo de lenguaje. Es la constatación de que la ciberseguridad se ha desplazado de las vulnerabilidades clásicas de red a un terreno mucho más resbaladizo: la confianza que el agente otorga a sus propias herramientas de ejecución.
El investigador Rony Utevsky firma el hallazgo. Su empresa, Adversa AI, especializada en red teaming para sistemas de inteligencia artificial, publicó el informe técnico con una conclusión incómoda: los guardarraíles de seguridad estáticos clasifican texto, no lo ejecutan. El atacante envía texto cifrado, la clave y una instrucción de descifrado. Y el modelo ejecuta la operación dentro de su propio sandbox de Python.
Anatomía del ataque: criptografía que fabrica contexto confiable
La técnica no es una inyección de prompt convencional. Técnicas anteriores como CipherChat o CodeChameleon utilizaban cifrados por sustitución, XOR o base64, esquemas que el modelo podía decodificar directamente en su contexto sin necesidad de intérprete. AES-256-GCM no se decodifica de forma nativa. Recuperar el texto plano exige ejecutar PBKDF2 y AES-256-GCM en tiempo real, algo que ningún clasificador de contenidos hace en el momento de la inspección.
Esa es la llave del ataque. El runtime descifra el payload, y las instrucciones del atacante aparecen como salida de un código que el propio modelo acaba de ejecutar, no como contenido externo no confiable. La ejecución en tiempo de ejecución blanquea datos controlados por el atacante hasta convertirlos en instrucciones en las que el agente confía. Por eso Adversa lo llama inyección criptográfica de contexto.
El agente asume que lo que sale de su propia caja de arena es digno de confianza. Y ahí está la fractura. Permítame insistir: no se parchea con un filtro de texto. La solución debe ir en el arnés alrededor del agente, no en la capa del modelo.
La demostración en Grok es más que un aviso técnico: es un caso confirmado de robo de datos personales. El payload dice crear una ‘clave de descifrado’, pero en realidad es una plantilla con el nombre del usuario, su ubicación, su plan de suscripción y su historial completo de chat. Grok usa esa información como parámetro de URL al abrir una web controlada para ‘buscar contexto adicional’. Los datos viajan al servidor del atacante como parte de una petición web aparentemente normal.
Sin advertencia. Sin clic. Sin titular de brecha. Solo una URL abierta automáticamente.
Adversa confirmó el 19 de agosto de 2026 que la vulnerabilidad seguía siendo reproducible. El aviso inicial a xAI se remonta al 3 de junio de ese año. Los detalles del informe público se publicaron en Security Affairs. La compañía no recibió respuesta más allá del acuse de recibo inicial.
Gemini, la variante química y el precedente que incomoda a Google
El caso Gemini usa el mismo truco de base. Un prompt pide ejecutar un script de Python que descifre unos datos y devuelva un JSON pequeño. En su lugar, el texto descifrado contiene un mensaje de error falso con instrucciones ocultas que esquivan las reglas de seguridad de Gemini. El modelo trata la salida del sandbox como contexto confiable y obedece.
Adversa la usó para que Gemini generara instrucciones detalladas para fabricar un artefacto incendiario. Una versión modificada expuso además las instrucciones de sistema del modelo. El agujero en Gemini no fue reportado formalmente porque el programa de recompensas de Google excluye los jailbreaks. La tasa de vulnerabilidad de Gemini ha bajado de forma brusca desde junio, según Adversa, pero el patrón de fondo no desaparece.
Ambos son sistemas de producción en vivo. No se trata de un laboratorio. La lectura confidencial es otra: si una empresa como Adversa lo ha demostrado contra dos de los asistentes más populares del planeta, el salto a asistentes corporativos con acceso a correo, calendario y repositorios es cuestión de empeño, no de tiempo.
El informe describe una equivalencia limpia con la inyección SQL clásica. Un sistema que no distingue su propio estado confiable de los datos suministrados por el atacante y que fluyen por el mismo canal. Esa arquitectura fue corregida en las bases de datos hace décadas. En la inteligencia artificial agéntica se ha reintroducido sin memoria institucional y sin las defensas correspondientes.
La criptografía, que durante siglos protegió la información, se convierte aquí en el canal por el que el atacante fabrica contexto confiable para el agente.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza
El vector es un ciberataque dirigido contra la capa de agente, no contra el modelo. Se combina una inyección de contexto con una inyección de prompt indirecta y la exfiltración silenciosa de datos personales mediante conexión saliente automatizada. La técnica no perfora el modelo; engaña al arnés que lo rodea. Y ese matiz define todo el planteamiento de defensa.
No hablamos de una vulnerabilidad de día cero en el sistema operativo. Es un defecto estructural en cómo el agente concede permisos de ejecución a contenido no confiable y lo envía a Internet sin intermediación ni confirmación. El agente resuelve datos privados de sesión en las llamadas salientes y no aplica control de salida ni puerta de consentimiento.
Agencias implicadas
El atacante es un actor de investigación privado, Adversa AI, no un servicio de inteligencia estatal. La empresa atacante identificada es xAI, propietaria de Grok. La segunda empresa afectada es Google, con Gemini. En España, el CCN-CERT y el CNI pueden no estar persiguiendo a Adversa, pero deben monitorizar de cerca la técnica, porque la capa agéntica se expande a administraciones, sanidad, empresas estratégicas y plataformas que manejan datos personales de millones de ciudadanos.
Los terceros interesados son las empresas de ciberseguridad y los equipos de seguridad de plataformas basadas en IA. En términos de inteligencia, la técnica interesa a cualquier servicio con capacidades SIGINT y OSINT que necesite exfiltrar historiales de conversación de objetivos. No atribuyo la técnica a un Estado; simplemente señalo que el vector abre una vía de exfiltración sin contacto y sin advertencia muy atractiva para cualquier actor avanzado.
Nivel de clasificación estimado
A juzgar por la naturaleza del material demostrado, estimo que la vulnerabilidad afecta a datos personales y metadatos de sesión, no a documentos gubernamentales clasificados. Eso sitúa el incidente en la categoría de Sin Clasificar pero Sensible, por el potencial de combinar historiales de chat con ubicación e identidad. El riesgo no es una filtración a gran escala de secretos de Estado, sino la sistematización de robos silenciosos de contexto privado en cuentas personales que después alimentan operaciones de ingeniería social dirigida, contrainteligencia o vigilancia no judicial. No estamos ante un asalto a los sistemas clasificados, pero sí ante la erosión de la privacidad conversacional de miles de usuarios.
El análisis me obliga a un matiz. La atribución técnica del hallazgo corresponde a Adversa AI y está documentada en informes públicos y comunidades de seguridad. No me consta una confirmación oficial de xAI que detalle el estado del parche ni de Google que admita variantes activas de la misma técnica. La cautela es lógica: la atribución en este sector se mueve entre lo reproducible, lo denunciado y lo silenciado.
El precedente que ilumina esta historia es Stuxnet, pero no por su potencia destructiva sino por su planteamiento. En la Operación Olympic Games se cifró el malware para que los analistas de seguridad no pudieran leerlo. Aquí la criptografía no oculta; fabrica confianza. El resultado es el mismo: el atacante controla la percepción del sistema.
Ciudadanos europeos que usan asistentes de IA en su vida diaria, empresas que despliegan agentes corporativos y administraciones que experimentan con IA. Vigilaré la respuesta de los equipos de seguridad de xAI, la reacción de la comunidad de bug bounty y, sobre todo, si el Reglamento Europeo de Inteligencia Artificial incorpora este tipo de inyección en sus estándares de auditoría. En España, las próximas directrices del CCN-CERT sobre seguridad de sistemas de IA serán un buen medidor. Si no abordan la capa agéntica, el problema quedará sin resolver.
Copiar el patrón de inyección SQL en la era de los asistentes autónomos no se corrige con una línea de políticas de guardarraíles.
Solución y secuencia de detección
Adversa propone una serie de controles de contenido y de salida, todos ellos ubicados en el arnés del agente. El contenido no confiable debe procesarse en un contexto sin herramientas ni credenciales y devolver únicamente datos estructurados al contexto privilegiado. Las llamadas de red salientes y las escrituras fuera del espacio de trabajo deben requerir confirmación explícita con argumentos resueltos visibles antes de su aprobación.
Los equipos de seguridad deben registrar trazas de cada herramienta con sus argumentos resueltos. Sin esas trazas no hay forense ni detección posible. Y la detección no debe alertar sobre un único bloque de criptograma. Debe vigilar secuencias: entra contenido no confiable, se ejecuta código, el agente contacta con un host fuera de su gráfico de dependencias normal. Esa cadena es la señal de compromiso; no el texto cifrado por sí solo.
No se equivoque conmigo. No defiendo a xAI ni cuestiono a Adversa. Me limito a leer la técnica desde el oficio. El fallo es estructural y de diseño. Y se repite en más sistemas de los que vamos a leer en los próximos titulares.
Puede que la comunidad de seguridad necesite desempolvar una lección que se aprendió con los buffer overflow a finales del siglo pasado: cuando la entrada del usuario se convierte en código ejecutado, ningún filtro de contenido resolverá el problema. La única salida es rediseñar el arnés.
