Künstliche Intelligenz Gedächtnisvergiftung mit einer einzigen E-Mail

Eine einzelne E-Mail, die an einen KI-Assistenten mit Speicher gesendet wird, kann dauerhaft ändern, dass der Assistent den Benutzer kennt. Eine Studie, die am 6. Juli 2026 in arXiv veröffentlicht wurde, zeigte die Technik mit einem automatischen Werkzeug namens MemGhost und erreichte 87,5% Erfolg bei Hintergrundtests. Der Name des Angriffs ist Hidden Memory Injection. In diesem Artikel, wie effektiv der Angriff funktioniert, wie effektiv er in Tests ist und welche Abwehrkräfte funktionieren.

Was ist Memory Poisoning Attack?

Gedächtnisvergiftung ist ein betrügerischer Angriff auf die Platzierung von Aufzeichnungen, bei dem ein Agent für künstliche Intelligenz zwischen den Sitzungen gespeichert wird. Das Ziel ist nicht das Modell selbst, sondern der Notizblock, den das Modell in jeder neuen Sitzung liest.

Permanente persönliche agenten sind in diese richtung von chatbots unterteilt, die alles vergessen, wenn das chatten beendet ist. Sie behalten Benutzerpräferenzen, Kontakte und Aufgaben, die sie in Dateien geben. OpenClaw, das primäre Ziel der OperationAGENTS.md behält die permanenten Anweisungen in Klartextdateien wie MEMORY.md, wenn sie etwas über den Benutzer erfahren. Zu Beginn jeder Sitzung werden diese Dateien im Kontext des Modells geladen.

Genau deshalb fühlt sich Asistan personalisiert. Die gleiche Struktur öffnet auch einen dauerhaften Ort für die Root-Freigabe von schädlichen Inhalten.

Wie funktioniert MemGhost mit Single Email?

Es besteht keine Notwendigkeit für Passwort, Konto oder Vorbeitritt der saldurga. Eine E-Mail, die für einen Benutzer normal erscheint, um das eingehende Feld des Agenten zu überprüfen, wird gesendet. Es verbirgt eine in den Text geschriebene Anweisung, nicht an den menschlichen Empfänger.

Drei Dinge passieren, wenn die Fähigkeit, E-Mails zu verarbeiten, diese Anweisung nicht erfüllt:

• Schreiben: Der Agent speichert gefälschte Notizen mit seinem eigenen Dateischreibwerkzeug dauerhaft.

• Versteckt: Es wird in der Antwort, die der Benutzer sieht, nicht erwähnt.

• Richtung: Als nächstes in einer Sitzung ändert es, was der Notizassistent oder was sie tun.

Die E-Mail ist ein bequemer Kanal für diesen Job. Asenkron ist Volumen und trägt persönliche Informationen von Natur aus. Jeder, der die Adresse kennt, kann den Inhalt ohne Erlaubnis vor den Agenten stellen.

Die Forscher haben die Nutzlast nicht manuell geschrieben. MemGhost wurde gegen eine Schattenkopie des Agenten trainiert und belohnte E-Mails, die die Antwort schweigen lassen, wenn das Gedächtnis erfolgreich vergiftet wird. Schließlich eine Produktionslinie, die keinen gegenseitigen Dialog erfordert.

Wie erfolgreich sind Angriffstests?

Die Zahlen zeigen, dass der Angriff unter Laborbedingungen stabil funktioniert.

Basierend auf den in CybersecAsia übertragenen Ergebnissen In 56 neuen Testfällen wurde das vollständige versteckte Gedächtnis angesprochen: Platzierung von gefälschten Erinnerungen, Verstecken und durch nachfolgendes Verhalten beeinflusst. 87,5% Erfolg wurde im Hintergrundmodus in OpenClaw mit GPT-5.4 erzielt. Die Rate des Claude Code SDK mit Sonnet 4.6 betrug 71,4%.

Der Tisch auf der Verteidigungsseite ist beunruhigender. Laut den in The Hacker News veröffentlichten Nachrichten Ein Eingangsfilter, der installiert wurde, um giftige E-Mails zu erfassen, verpasste MemGhosts Nachricht in neun von zehn Studien. Sogar ein gehärtetes Modell, um Anweisungen aus der E-Mail anzunehmen, wurde die etwa zur Hälfte platzierte Anweisung angewendet. Selbst wenn der Benutzer fragt, was er direkt kontrolliert und was er getan hat, wurde der Angriff in einem der vier Fälle in einem Modell versteckt.

Ein 108-Fall-Benchmark wurde ebenfalls in der Studie installiert. Das Set umfasst Risikokategorien wie Gesundheit und Sicherheit, finanzielle Schäden, Informationsintegrität und Cybersicherheit. Der Schaden, der durch vergiftetes Gedächtnis verursacht wird, beschränkt sich nicht auf einen falschen Filmrat.

Was ist der Unterschied zur klassischen Prompt Injection?

Dolayli prompt Injektion ist kein neues Konzept. Tests an schädlichen künstlichen Intelligenzmodellen Es zeigte sich bereits, dass diese Systeme nicht ausreichend resistent gegen direkte und indirekte sofortige Injektionsangriffe sind.

Was MemGhost hinzufügt, ist dauerhaft. In früheren Beispielen wurde die toxische Anweisung manuell platziert oder sie wurde nur auf Anfrage durchgesickert. Hier ist eine automatische Nutzlast, die eine einzelne E-Mail in ein gefälschtes Souvenir umwandelt und die Sitzungen weiterleitet, auch nachdem die Speichernachricht von vielen gelöscht wurde.

Der Unterschied wird im Ziel des Angriffs gesehen. Klassisches Injektionsmittel ist in diesem Moment gezwungen, etwas zu tun. Memory Injection ändert, was der Agent glaubt und lässt das Timing aggressiv.

Warum wird ein schneller Patch erwartet?

Es wird keine Korrektur erwartet, da der Angriff keine Sicherheitsgrenzen verletzt.

Die Sicherheitsrichtlinie von OpenClaw zählt eine sofortige Injektion in einem Bereich. Es ist notwendig, eine der Zulassungs-, Fahrzeugpolitik-, Genehmigungs- oder Sandbox-Grenzwerte zu überschreiten, um die Frage der Korrektur einer Einspritzung zu sein. MemGhost übertrifft keine von ihnen. Das Speicherbrennwerkzeug, das vom Agenten gegeben wird, verwendet genau wie entworfen.

Das Problem entsteht hier aus einer sehr Designpräferenz. Der Punkt, den die Forscher betonen, ist: Die Gefahr, der unzuverlässige Inhalt von Systemen der künstlichen Intelligenz kann nicht gelesen werden. Danger ist in der Lage, diesen Inhalt als zuverlässigen Speicher ohne einen sichtbaren Bestätigungsschritt aufzuzeichnen.

Dies KI-Sicherheit eine andere Schicht als häufige Datenvergiftung in Diskussionen. Datenvergiftung geschieht während der Trainingsphase und stört das Modell. Gedächtnisvergiftung geschieht zum Zeitpunkt des Betriebs, das Modell ändert sich überhaupt nicht und zielt nur auf einen einzelnen Benutzer.

Wie können Benutzer und Entwickler schützen?

Net-Lösung ist die Trennung von zwei Werken: Lesen Sie die ungesicherte Post und schreiben Sie sie in ihr eigenes Gedächtnis.

OpenClaws eigener Sicherheitsleitfaden schlägt einen separaten Leseragenten für ungesicherte E-Mails vor. Dieser leser nimmt den agenten aus den händen von speicher-, datei- und shell-tools; nur eine zusammenfassung an den hauptagent senden.

Die Autoren der Studie verteidigen, dass die Korrektur im Agenten leben sollte. Die drei Punkte, auf die sie sich beziehen, sind:

• Quellenkennzeichnung: Wo jede Information registriert ist.

• schriftliche Genehmigung: Nichts geht in den permanenten Speicher, ohne den Benutzer zu fragen.

• Prüfprotokoll: Jeder Memory-Zauber wird protokolliert und retrospektiv.

OpenClaw stellte fest, dass das Speicherschreiben externe Inhalte steuert. Quelleninformationen, Prüfprotokolle und Bestätigungsabfragen auf der Tagesordnung.

Der Wind auf der Unternehmensseite geht in die gleiche Richtung. Laut den in SecurityWeek veröffentlichten Nachrichten Die britische NCSC eröffnete am 7. Juli 2026 das agentenbasierte Verteidigungsprogramm Cyber Shield und machte einen breiten Aufruf zur Zusammenarbeit von der Akademie an Betreiber kritischer Infrastrukturen. Europäische Kommission am 7. Juli Eine entwickelte künstliche Intelligenz bot einen Plan für die Risiken der Cybersicherheit. Der Plan ist klar, wo KI verwendet werden kann, um Angriffe zu automatisieren und das Ausmaß von Ereignissen zu vergrößern.

Was denkt die Gemeinschaft?

In der Diskussion geht es darum, ob die Testinstallation fair ist.

Die Schwere der Forschung zeigt die verteidigenden Zahlen. Die semi-haler Anwendung der Filter fast vollständig ausfallen und auch die gehärteten Modelle zeigt, dass das Problem nicht von der Rasse mit dem Patch zu schließen. Es gibt auch ein unvermeidliches Eisen: Privatsphäre wird erwartet, weil Agenten gut gestaltet sind. Das einzige Modell, das sich selbst anspricht, wird abgefangen, weil die Zwischenschritte in die Antwort gedruckt werden. Die Agenten werden gezwungen sein zu entdecken, während sie ruhig arbeiten.

Die Gegenseite sagt, dass OpenClaw überhaupt nicht an der isolierten Reader-Agent-Konfiguration getestet wird, die die Studie empfiehlt. Die Modellebene argumentiert auch, dass es einen Unterschied schafft: Die Tests wurden mit GPT-5.4 durchgeführt, die Kosten wurden von Claude Opus 4.6 festgelegt. Das Unternehmen zeigt ein Beispiel für einen öffentlichen Wettbewerb, dass Tausende von Injektions-E-Mails nicht von einem Opus 4.6-Agenten geheim gehalten werden können. Aber es zielte auf die rassendatendiebe ab, nicht um das gedächtnis zu vergiften. Der Appell reagiert also nicht direkt auf die Arbeit. Die Modellebene macht keinen wirklichen Unterschied, Claude Sonnet 5 Es wird nicht gelöscht, ohne erneute Tests auf neue Versionen.

Eine Warnung verdient auch Gold zu ziehen. Es gibt keinen Angriff auf das Mittelfeld. Alles wurde mit gefälschten Boxen und gefälschten Benutzern in versiegelten Testumgebungen betrieben. Die Forscher stellten fest, dass sie ihre Ergebnisse mit den betroffenen Wirkstoff- und Modellherstellern teilen werden.

Häufig gestellte Fragen

Welche Werkzeuge beeinflussen Gedächtnisvergiftungsangriffe? Jeder persönliche Agent mit permanentem Speicher und unzuverlässigem Inhalt ist Risiko. OpenClaw und Claude Code SDK-basierter Agent wurden im Betrieb getestet. Es ist nicht der Name des Produkts, aber es kann den externen Inhalt desselben Agenten lesen und ihn in sein Gedächtnis schreiben, ohne dass eine Genehmigung erforderlich ist.

Ist ein gewöhnlicher ChatGPT-Benutzer betroffen? Geringe Wahrscheinlichkeit direkter Auswirkungen. Der Angriff zielt auf Installationen ab, bei denen der Agent auf die eingehende Box zugreifen und den Hintergrund selbst bearbeiten kann. Nicht nur chat, ein assistent, der sich nicht mit e-mail verbindet, ist nicht offen für diesen vektor.

Wie erkennt man ein vergiftetes Gedächtnis? Nicht einfach. Auch wenn der Nutzer in den Tests direkt fragt, wurde der Angriff in einem der vier Fälle versteckt. Praktische Methode, manuell und lesen Sie Speicherdateien des Agenten. Diese Dateien werden als Klartext in Fahrzeugen wie OpenClaw aufbewahrt.

Löst es das Problem, zu einem neuen Modell zu wechseln? Es kann Eifersucht reduzieren, es löst sich nicht vollständig. Sogar ein gehärtetes Modell, die platzierte Anweisung wurde auf etwa die Hälfte angewendet. Die Modellebene reduziert die Erfolgsrate, beseitigt aber nicht die Angriffsfläche, da das Problem in der Architektur liegt.

Wird dieser Angriff wirklich genutzt? Nein. Laborergebnisse. Die Tests wurden in versiegelten Umgebungen mit gefälschten Boxen und gefälschten Benutzern durchgeführt, die nicht gegen echte Menschen eingesetzt wurden.

Der Wert von Assistenten mit Gedächtnis kommt von der Erinnerung an den Benutzer. Die gleiche Funktion gibt dem Angreifer einen permanenten Griff. Walking mit Sound Klonen Künstliche Intelligenz Identitätsimitation Betrug Wenn der Benutzer sich selbst nachahmt, imitiert die Gedächtnisvergiftung, dass der Assistent des Benutzers ihn kennt. Der gemeinsame Punkt von zwei ist, dass der Angriff nicht mehr auf das System gerichtet ist. Die Frage, wie viel Ermächtigung an Agenten wäre, um zu der Frage zurückzukehren, welche Autorität in der kommenden Periode entzogen wird.