رمز الاستخبارات الأثرية

البريد الإلكتروني الوحيد الذي أرسل إلى مساعد في المخابرات مع الذاكرة يمكن أن يغير بشكل دائم أن المساعد يعرف عن المستخدم. A study published in arXiv on July 6, 2026 showed the technique with an automatic tool called MemGhost and achieved 87.5% success in background tests. اسم الهجوم هو حقن الذاكرة الخفي وفي هذه المادة، مدى فعالية الهجوم، ومدى فعاليته في الاختبارات، وما هو عمل الدفاعات.

ما هو هجوم سموم الذاكرة؟

التسمم الذاكري هو هجوم مزيف على تسجيلات أن عميل مخابرات اصطناعي يخزن بين الدورات وليس الهدف هو النموذج نفسه، ولكن المذكرة التي يقرأها النموذج في كل دورة جديدة.

العملاء الشخصيون الدائمون ينقسمون إلى هذا الاتجاه من الدردشة الذين ينسون كل شيء عندما تنتهي المحادثة ويحتفظون بأفضليات المستخدمين والاتصالات والمهام التي يقدمونها في الملفات. OpenClaw, the primary goal of operationوتحتفظ الوكالة بالتوجيهات الدائمة في ملفات النص المبسط مثل وزارة الخارجية إذا علموا عن المستخدم. وفي بداية كل دورة، يتم تحميل هذه الملفات في سياق النموذج.

وهذا هو بالضبط سبب شعور أسستان بالشخصية. ويفتح الهيكل نفسه أيضا مكانا دائما للإفراج عن المحتوى الضار.

كيف يعمل (ميمغوست) مع بريد إلكتروني واحد؟

وليس هناك حاجة إلى كلمة سر أو حساب أو قبل انضمام السالدورغا. البريد الإلكتروني الذي يبدو عادياً للمستعمل الذي تم تركيبه ليتحقق من الصندوق القادم للعميل إنه يخفي تعليمات مكتوبة في النص، وليس للمستقبل البشري.

ثلاثة أشياء تحدث إذا فشلت القدرة على تجهيز البريد الإلكتروني في هذه التعليمات

• الكتابة: الوكيل يُوفّرُ ملاحظةَ مزيفَةَ بشكل دائم إستعملْ أداةَ كتابة ملفِه الخاصةِ.

• إخفاء: لم يُذكر في الجواب أن المُستخدم يرى ذلك.

• التوجيه: وفي الدورة التالية، يغيّر ما يقوم به مساعد المذكرة أو ما يفعله.

البريد الإلكتروني هو قناة ملائمة لهذا العمل Asenkron is volume and carries personal information by nature. أي شخص يعرف العنوان يمكنه أن يضع المحتوى أمام العميل بدون إذن

ولم يكتب الباحثون الحمولة يدويا. تم تدريب (ميمجوست) على نسخة مظلة من العميل و مكافأة رسائل إلكترونية تبقي الإجابة صامتة عندما تسمم الذاكرة بنجاح ومع ذلك، فإن خط الإنتاج لا يتطلب حواراً متبادلاً.

ما مدى نجاح اختبارات الهجوم؟

وتشير الأرقام إلى أن الهجوم يعمل في ظروف مختبرية مستقرة.

بناء على النتائج التي تم نقلها في سيبرسيكا In 56 new test cases, full hidden memory has been addressed: placement of fake memory, hiding and affected by subsequent behavior. 87.5% success was achieved in the background mode in OpenClaw running with GPT-5.4. The rate of Claude Code SDK using Sonnet 4.6 was 71.4%.

الطاولة على جانب الدفاع أكثر إثارة للقلق وفقاً للأخبار المنشورة في أخبار هاكر وتم تركيب مرشح للمدخلات لالتقاط رسائل إلكترونية سامة، فوت رسالة ميمغوست على تسع من عشر محاكمات. وحتى نموذج مشدَّد لاستلام التعليمات من البريد الإلكتروني، تم تطبيق التعليمات الموجهة نحو النصف. وحتى عندما يسأل المستخدم عن ما يتحكم به مباشرة وما فعله، كان الهجوم مخبأ في إحدى الحالات الأربع في نموذج.

كما رُكِّب في هذه الدراسة معيار مرجعي لـ 108 حالة. وتشمل المجموعة فئات المخاطر المتعلقة بالصحة والسلامة، والأضرار المالية، وسلامة المعلومات، وأمن الفضاء الإلكتروني. الضرر الذي تسببه الذاكرة المسمومة ليس مقصوراً على نصائح فيلم كاذبة

ما هو الفرق من الحقن المفاجئ الكلاسيكي؟

حقن (دوليلي) السريع ليس مفهوماً جديداً اختبار نماذج الاستخبارات الاصطناعية الضارة It was already revealed that these systems are not sufficiently resistant to direct and indirect prompt injection attacks.

ما يضيفه (ميمغوست) دائم In previous examples, the toxic instruction was placed manually or it was leaked only when asked. هنا حمولة أوتوماتيكية، تحويل بريد إلكتروني واحد إلى تذكار مزيف، ويواصل إعادة توجيه الجلسات حتى بعد حذف رسالة الذاكرة من الكثير.

ويتجلى الفرق في هدف الهجوم. وكيل الحقن الكلاسيكي مجبر على فعل أي شيء في تلك اللحظة الحقنة الذكرية تغير ما يؤمن به العميل وتترك التوقيت عدواني

لمَ يتوقّع دفعة سريعة؟

وليس هناك تصويب متوقع، لأن الهجوم لا ينتهك أي حدود أمنية.

وتحسب السياسة الأمنية للشركة المفتوحة الحقن الفوري في نطاق واحد. ومن الضروري أن تتجاوز إحدى القيود المفروضة على الإذن أو سياسة المركبات أو الموافقة أو صناديق الرمل مسألة تصحيح الحقن. لا يتجاوز (ميمجوست) أياً منهم أداة حرق الذاكرة، التي يعطيها العميل، تستخدم بالضبط كما هو مصمم.

المشكلة تولد هنا من أفضلية التصميم والنقطة التي يؤكدها الباحثون هي: الخطر، والمحتوى غير الموثوق به لنظم الاستخبارات الاصطناعية لا يمكن قراءته. والخطر قادر على تسجيل ذلك المحتوى كذاكرة موثوق بها دون خطوة واضحة للتأكيد.

هذا الأمن a different layer from frequent data poisoning in discussions. ويحدث تسمم البيانات أثناء مرحلة التدريب ويعطل النموذج. ويحدث تسمم الذاكرة وقت العمل، ولا يتغير النموذج على الإطلاق، ويستهدف فقط مستخدم واحد.

كيف يمكن للمستعملين والمطورين حماية؟

والحل الصافي هو الفصل بين عملين: قراءة البريد غير المضمون وكتابته إلى ذاكرته.

ويوحي دليل الأمن الخاص بمنظمة " فتح القانون " بوكيل قراء مستقل بالبريد الإلكتروني غير المضمون. هذا القارئ يأخذ العميل من يد الذاكرة والملف وأدوات القصف فقط رسالة موجزة إلى العميل الرئيسي

ويدافع أصحاب الدراسة عن أن التصويب ينبغي أن يعيش في الوكيل. أما البنود الثلاثة المشار إليها فهي:

• تعريف المصدر: حيث يتم تسجيل كل قطعة من المعلومات

• الموافقة الكتابية: لا شيء يدخل في ذاكرة دائمة بدون استجواب للمستعمل

• سجل مراجعة الحسابات: كلّ تعويذة ذاكرة مُسجّلة و متطوّرة.

ولاحظ القانون المفتوح أن مراقبة كتابة الذاكرة للمحتوى الخارجي. Information, audit records and confirmation queries on the agenda.

الرياح على جانب الشركة تمتد في نفس الاتجاه According to the news published in SecurityWeek The UK’s NCSC opened the agent-based defense program called Cyber Shield on July 7, 2026 and made a broad collaboration call from the academy to critical infrastructure operators. اللجنة الأوروبية في 7 تموز/يوليه وقدّمت الاستخبارات الاصطناعية خطة لمخاطر أمن الفضاء الإلكتروني. The plan is clearly located where AI can be used to automate attacks and grow the scale of events.

ما رأي المجتمع؟

وتدور المناقشة حول ما إذا كان تركيب الاختبار عادلا.

شدة البحث تشير إلى أرقام الدفاع والتطبيق شبه النصفي للمرشحين إلى الفشل الكامل تقريباً، وحتى النماذج المتشددة تبين أن المشكلة ليست من التكاثر إلى الإقتراب من الرقعة. There is also an imperative iron: privacy is expected because agents are well designed. والنموذج الوحيد الذي يتناول نفسه يُمسك لأن الخطوات الوسيطة تُطبع في الإجابة. سوف يُجبر العملاء على الكشف بينما يعملون بهدوء

والجانب المقابل يقول إن نظام " أوبنكلو " لا يُختبر في جميع أشكال القراء المنعزلة التي توصي بها الدراسة. The model level also argues that it creates a difference: tests were executed with GPT-5.4, Claude Opus 4.6 was thrown on the cost ground. The company shows an example of a public contest that thousands of injection emails can not secret from an Opus 4.6 agent. لكنه كان يستهدف لصوص بيانات السباق، وليس لتسميم الذاكرة. لذا فإن الاستئناف لا يستجيب مباشرة للعمل. مستوى النموذج لا يفرق حقاً Claude Sonnet 5 ولن يتم تطهيرها دون إعادة اختبار النسخ الجديدة.

التحذير يستحق أيضاً سحب الذهب لا يوجد هجوم على المنتصف كُلّ شيء كَانَ يَرْكضُ بالصناديقِ المزيفةِ والمستعملين المزيفين في بيئاتِ الإختبارِ المختومةِ. وأشار الباحثون إلى أنهم سيتقاسمون ما توصلوا إليه من نتائج مع العميل المتأثر والمنتجين النموذجيين.

الأسئلة المتكررة

ما الأدوات التي تؤثر على تسمّم الذاكرة؟ كل عميل شخصي ذو ذاكرة دائمة ومحتوى غير موثوق به خطر تم اختبار العميلة القائمة على (إس دي كي) و(كلود) وهو ليس اسم المنتج، ولكنه يمكن أن يقرأ المحتوى الخارجي لنفس الوكيل ويكتبه إلى ذاكرته دون الحاجة إلى الموافقة.

هل مستعمل (تشات جي تي) عادي متأثر به؟ انخفاض احتمال التأثير المباشر. ويستهدف الهجوم المنشآت التي يمكن للوكيل الوصول إلى الصندوق القادم والعمل على الخلفية نفسها. ليس فقط الدردشة، مساعد لا يتواصل مع البريد الإلكتروني ليس مفتوحاً لهذا الناقل.

كيف لاحظت ذاكرة مسممة؟ ليس سهلاً وحتى لو سأل المستخدم مباشرة في الاختبارات، كان الهجوم مخبأ في إحدى الحالات الأربع. طريقة عملية، يدوياً وقراءة ملفات ذاكرة العميل هذه الملفات محتفظ بها كنص واضح في مركبات مثل "ابنكلوي"

هل حل المشكلة للتحول إلى نموذج جديد؟ يمكن أن يقلل الغيرة، لا يحل تماما. وحتى النموذج المكثف، تم تطبيق التعليم على نحو النصف. The model level reduces success rate but does not eliminate the attack surface, because the problem is in structure.

هل هذا الهجوم مستعمل حقا؟ لا نتائج المختبر وقد أجريت الاختبارات في بيئات مختومة بصناديق مزيفة ومستعملين مزيفين، لم تستخدم ضد أشخاص حقيقيين.

قيمة المساعدين بالذاكرة تأتي من تذكر المستعمل نفس الميزة تعطي المهاجم مقبض دائم المشي مع استنساخ الصوت مقايضة الهوية الاستخبارية وعندما يحيي المستعمل نفسه، فإن تسمم الذاكرة يقلل من أن مساعد المستخدم يعرفه. والنقطة المشتركة بين الاثنين هي أن الهجوم لم يعد في النظام. والسؤال عن مدى الإذن للوكلاء هو العودة إلى مسألة السلطة التي سيتم سحبها في الفترة القادمة.