Instalación de memoria de inteligencia artificial con un solo correo electrónico

Un solo correo electrónico enviado a un asistente de inteligencia artificial con memoria puede cambiar permanentemente que el asistente sabe sobre el usuario. Un estudio publicado en arXiv el 6 de julio de 2026 mostró la técnica con una herramienta automática llamada MemGhost y logró el 87,5% de éxito en las pruebas de fondo. El nombre del ataque es la inyección de memoria oculta. En este artículo, cómo funciona el ataque, qué eficaz es en las pruebas, y qué defensas funcionan.

¿Qué es el ataque de envenenamiento de memoria?

El envenenamiento por memoria es un ataque fraudulento de colocación de registros que un agente de inteligencia artificial se almacena entre sesiones. El objetivo no es el modelo en sí, sino la nota que el modelo lee en cada nueva sesión.

Los agentes personales permanentes se dividen en esta dirección de los chatbots que olvidan todo cuando se termina el chat. Mantienen las preferencias, contactos y tareas que dan en los archivos. OpenClaw, el objetivo principal de la operaciónAGENTS.md mantiene las instrucciones permanentes en archivos de texto simple como MEMORY.md si aprenden sobre el usuario. Al comienzo de cada sesión, estos archivos se cargan en el contexto del modelo.

Por eso Asistan se siente personalizado. La misma estructura también abre un lugar permanente para la liberación de raíz de contenido dañino.

¿Cómo trabaja MemGhost con un solo correo electrónico?

No hay necesidad de contraseña, cuenta o preaccesión de la saldurga. Se envía un correo electrónico que aparece ordinario a un usuario instalado para comprobar la caja entrante del agente. Escoge una instrucción escrita en el texto, no al receptor humano.

Tres cosas suceden en orden si la capacidad de procesar correo electrónico falla esta instrucción:

• Escribe: El agente guarda la memoria permanente de la nota falsa utilizando su propia herramienta de escritura de archivos.

• Escóndete. No se menciona en la respuesta que el usuario ve.

• Dirección: A continuación, en una sesión, cambia lo que el asistente de nota o lo que hacen.

El correo electrónico es un canal conveniente para este trabajo. Asenkron es volumen y lleva información personal por naturaleza. Cualquier persona que conozca la dirección puede poner el contenido delante del agente sin ningún permiso.

Los investigadores no escribieron la carga útil manualmente. MemGhost fue entrenado contra una copia de sombra del agente y correos electrónicos recompensados que guardan la respuesta silenciosa cuando envenenan la memoria con éxito. Después de todo, una línea de producción que no requiere un diálogo mutuo.

¿Qué tan exitosos son los exámenes de ataque?

Los números indican que el ataque funciona estable en condiciones de laboratorio.

Basado en los resultados transferidos en CybersecAsia En 56 nuevos casos de prueba, se ha abordado la memoria oculta completa: colocación de recuerdos falsos, escondidos y afectados por comportamientos posteriores. 87.5% de éxito se logró en el modo de fondo en OpenClaw corriendo con GPT-5.4. La tasa de Claude Code SDK usando Sonnet 4.6 fue 71,4%.

La mesa del lado de la defensa es más inquietante. Según las noticias publicadas en The Hacker News Un filtro de entrada instalado para capturar correos electrónicos venenosos, perdió el mensaje de MemGhost sobre nueve de diez ensayos. Incluso un modelo endurecido para asumir instrucciones de correo electrónico, se aplicó la instrucción sobre la mitad. Incluso cuando el usuario pide lo que controla directamente y lo que hizo, el ataque fue escondido en uno de los cuatro casos en un modelo.

En el estudio también se instaló un parámetro de referencia de 108 casos. El conjunto abarca categorías de riesgo de salud y seguridad, daños financieros, integridad de la información y ciberseguridad. El daño causado por la memoria envenenada no se limita a un falso consejo de cine.

¿Cuál es la diferencia de la inyección de propenso clásico?

La inyección rápida de Dolayli no es un nuevo concepto. Pruebas sobre modelos dañinos de inteligencia artificial Ya se ha revelado que estos sistemas no son suficientemente resistentes a ataques directos e indirectos de inyección rápida.

Lo que MemGhost añade es permanente. En ejemplos anteriores, la instrucción tóxica se colocó manualmente o sólo se filtró cuando se le preguntó. Aquí hay una carga de pago automática, convirtiendo un solo correo electrónico en un souvenir falso, y continúa redireccionando sesiones incluso después de que el mensaje de memoria se elimina de mucho.

La diferencia se ve en el objetivo del ataque. El agente de inyección clásico se ve obligado a hacer cualquier cosa en ese momento. La inyección de memoria cambia lo que el agente cree y deja el tiempo agresivo.

¿Por qué se espera un parche rápido?

No hay corrección prevista, porque el ataque no viola ningún límite de seguridad.

La política de seguridad de OpenClaw cuenta con la inyección rápida en un ámbito. Es necesario superar uno de los límites de autorización, política de vehículos, aprobación o caja de arena para ser la cuestión de la corrección de una inyección. MemGhost no excede ninguno de ellos. La herramienta de grabación de memoria, que es dada por el agente, está utilizando exactamente como diseñado.

El problema nace aquí de una preferencia de diseño. El punto que enfatizan los investigadores es: el peligro, el contenido no confiable de los sistemas de inteligencia artificial no se puede leer. El peligro es capaz de registrar ese contenido como una memoria confiable sin un paso de confirmación visible.

Esto Seguridad AI una capa diferente de la intoxicación frecuente de datos en las discusiones. El envenenamiento de datos ocurre durante la fase de entrenamiento y altera el modelo. El envenenamiento por memoria ocurre en el momento de la operación, el modelo no cambia en absoluto y sólo apunta a un solo usuario.

¿Cómo pueden proteger los usuarios y desarrolladores?

La solución neta es la separación de dos obras: leer el correo no asegurado y escribirlo a su propia memoria.

La propia guía de seguridad de OpenClaw sugiere un agente de lector separado de correo electrónico no asegurado. Este lector toma al agente de las manos de las herramientas de memoria, archivo y shell; sólo envía un resumen al agente principal.

Los autores del estudio defienden que la corrección debe vivir en el agente. Los tres artículos a los que se hace referencia son:

• Etiquetas de la fuente: Donde cada pieza de información está registrada.

• Aprobación por escrito: Nada entra en la memoria permanente sin cuestionar al usuario.

• Registro de auditoría: Cada hechizo de memoria es solitario y retrospectivo.

OpenClaw señaló que los controles de escritura de memoria para el contenido externo. Información de fuentes, registros de auditoría y consultas de confirmación en el programa.

El viento en el lado corporativo se extiende en la misma dirección. Según las noticias publicadas en SecurityWeek El NCSC del Reino Unido abrió el programa de defensa basado en agentes llamado Cyber Shield el 7 de julio de 2026 e hizo una amplia llamada de colaboración de la academia a operadores de infraestructura crítica. Comisión Europea el 7 de julio La inteligencia artificial desarrollada ofrece un plan para los riesgos de la ciberseguridad. El plan está claramente ubicado donde AI se puede utilizar para automatizar ataques y crecer la escala de eventos.

¿Qué piensa la comunidad?

La discusión se basa en si la instalación de prueba es justa.

La gravedad de la investigación indica las cifras de defensa. La aplicación semi-halador de los filtros para casi completamente fallar e incluso los modelos endurecidos muestra que el problema no es de la raza para cerrar con el parche. También hay un hierro inevitable: se espera la privacidad porque los agentes están bien diseñados. El único modelo que se dirige a sí mismo es atrapado porque los pasos intermedios se imprimen en la respuesta. Los agentes serán forzados a detectar mientras dominan el trabajo en silencio.

El lado opuesto dice que OpenClaw no se prueba en toda la configuración aislada del agente lector que el estudio recomienda. El nivel del modelo también argumenta que crea una diferencia: las pruebas se ejecutaron con GPT-5.4, el costo fue establecido por Claude Opus 4.6. La empresa muestra un ejemplo de un concurso público que miles de correos electrónicos de inyección no pueden secretos de un agente Opus 4.6. Pero estaba dirigido a los ladrones de datos de la raza, no a envenenar la memoria. Así que el recurso no responde directamente al trabajo. El nivel de modelo no marca realmente la diferencia, Claude Sonnet 5 No se aclarará sin volver a probar nuevas versiones.

Una advertencia también merece dibujar oro. No hay ataque en el mediocampo. Todo se ejecutó con cajas falsas y usuarios falsos en ambientes de prueba sellados. Los investigadores señalaron que compartirán sus hallazgos con el agente afectado y los productores modelo.

Preguntas frecuentes

¿Qué herramientas afectan el ataque de envenenamiento de memoria? Cada agente personal con memoria permanente y contenido no confiable es riesgo. OpenClaw y Claude Code Agente basado en SDK fueron probados en operación. No es el nombre del producto, pero puede leer el contenido externo del mismo agente y escribirlo a su memoria sin necesidad de aprobación.

¿Está afectado un usuario normal de ChatGPT? Baja probabilidad de impacto directo. El ataque está dirigido a instalaciones que el agente puede acceder a la caja entrante y trabajar en el fondo mismo. No sólo chat, un asistente que no se conecta al correo electrónico no está abierto a este vector.

¿Cómo notar una memoria envenenada? No es fácil. Incluso si el usuario pregunta directamente en las pruebas, el ataque fue oculto en uno de los cuatro casos. Método práctico, manualmente y leer archivos de memoria del agente. Estos archivos se guardan como texto simple en vehículos como OpenClaw.

¿Soluciona el problema para cambiar a un nuevo modelo? Puede reducir los celos, no resuelve completamente. Incluso un modelo endurecido, la instrucción colocada fue aplicada a aproximadamente la mitad. El nivel del modelo reduce la tasa de éxito pero no elimina la superficie de ataque, porque el problema está en la arquitectura.

¿Es este ataque realmente usado? No. Resultados de laboratorio. Las pruebas se llevaron a cabo en ambientes sellados con cajas falsas y usuarios falsos, no utilizados contra personas reales.

El valor de los asistentes con memoria proviene de recordar al usuario. La misma característica le da al atacante un mango permanente. Caminando con clonación de sonido Escala de imitación de identidad de inteligencia artificial Cuando el usuario se imita, el envenenamiento de memoria imita que el asistente del usuario lo conoce. El punto común de dos es que el ataque ya no es para el sistema. The question of how much authorization to agents would be to return to the question of which authority will be withdrawn in the next period.