Intelligence artificielle Mémoire Poisonnage avec un seul courriel

Un seul e-mail envoyé à un assistant AI avec mémoire peut changer en permanence que l'assistant connaît l'utilisateur. Une étude publiée dans arXiv le 6 juillet 2026 a montré la technique avec un outil automatique appelé MemGhost et a obtenu 87,5 % de succès dans les tests de fond. Le nom de l'attaque est l'injection de mémoire cachée. Dans cet article, l'efficacité de l'attaque, son efficacité dans les tests et les défenses.

Qu'est-ce que l'attaque d'empoisonnement de mémoire?

L'empoisonnement à la mémoire est une attaque frauduleuse de placement de documents qu'un agent d'intelligence artificielle est stocké entre les sessions. Le but n'est pas le modèle lui-même, mais le bloc-notes que le modèle lit dans chaque nouvelle session.

Les agents personnels permanents sont divisés dans cette direction à partir de chatbots qui oublient tout quand la conversation est terminée. Ils conservent les préférences des utilisateurs, les contacts et les tâches qu'ils donnent dans les fichiers. OpenClaw, le principal objectif de l'opérationAGENTS.md conserve les instructions permanentes dans des fichiers texte comme MEMORY.md s'ils en apprennent davantage sur l'utilisateur. Au début de chaque session, ces fichiers sont chargés dans le contexte du modèle.

C'est exactement pour ça qu'Asistan se sent personnalisé. La même structure ouvre également une place permanente pour la libération de racine de contenu nuisible.

Comment MemGhost fonctionne-t-il avec un seul courriel?

Pas besoin de mot de passe, de compte ou de pré-adhésion de la saldurga. Un e-mail qui semble ordinaire à un utilisateur installé pour cocher la case entrante de l'agent est envoyé. Il cache une instruction écrite dans le texte, pas au récepteur humain.

Trois choses se produisent dans l'ordre si la capacité de traiter l'email échoue cette instruction:

• Écrivez : L'agent enregistre la fausse note en permanence en utilisant son propre outil d'écriture de fichier.

• Cacher : Il n'est pas mentionné dans la réponse que l'utilisateur voit.

• Direction: Suivant dans une séance, il change ce que l'assistant de note ou ce qu'ils font.

Le courriel est un moyen pratique pour ce travail. Asenkron est volume et contient des renseignements personnels par nature. Quiconque connaît l'adresse peut mettre le contenu devant l'agent sans autorisation.

Les chercheurs n'ont pas écrit la charge utile manuellement. MemGhost a été formé contre une copie d'ombre de l'agent et récompensé des emails qui gardent la réponse silencieuse en empoisonnant la mémoire avec succès. Après tout, une ligne de production qui ne nécessite pas un dialogue mutuel.

Quelle est la réussite des tests d'attaque?

Les chiffres indiquent que l'attaque fonctionne stable en laboratoire.

D'après les résultats transférés dans CybersecAsia Dans 56 nouveaux cas de test, la mémoire cachée complète a été abordée : placement de faux souvenirs, cache et affecté par le comportement ultérieur. 87,5 % de succès ont été obtenus en mode fond en OpenClaw avec GPT-5.4. Le taux de Claude Code SDK utilisant Sonnet 4.6 était de 71,4 %.

La table du côté de la défense est plus inquiétante. Selon les nouvelles publiées dans The Hacker News Un filtre d'entrée installé pour capturer les courriels toxiques, message manqué de MemGhosts sur neuf des dix essais. Même un modèle durci pour assumer les instructions du courriel, l'instruction placée environ la moitié a été appliquée. Même lorsque l'utilisateur demande ce qu'il contrôle directement et ce qu'il a fait, l'attaque est cachée dans l'un des quatre cas dans un modèle.

Une référence de 108 cas a également été installée dans l'étude. L'ensemble couvre les catégories de risques de santé et de sécurité, de dommages financiers, d'intégrité de l'information et de cybersécurité. Les dommages causés par la mémoire empoisonnée ne se limitent pas à un faux conseil de film.

Quelle est la différence par rapport à l'injection classique ?

L'injection rapide de Dolayli n'est pas un nouveau concept. Essais sur des modèles d'intelligence artificielle nuisibles Il a déjà été révélé que ces systèmes ne sont pas suffisamment résistants aux crises d'injection rapide directe et indirecte.

Ce que MemGhost ajoute est permanent. Dans des exemples précédents, l'instruction sur la toxicité a été placée manuellement ou elle n'a été divulguée qu'à la demande. Voici une charge utile automatique, en convertissant un seul email en un faux souvenir, et il continue à rediriger les sessions même après que le message mémoire est supprimé de beaucoup.

La différence est observée dans le but de l'attaque. L'agent d'injection classique est obligé de faire n'importe quoi à ce moment. L'injection de mémoire change ce que l'agent croit et laisse le timing agressif.

Pourquoi est - il attendu d'un patch rapide?

Il n'y a pas de correction attendue, car l'attaque ne viole aucune limite de sécurité.

La politique de sécurité d'OpenClaw compte l'injection rapide dans un seul champ. Il est nécessaire de dépasser l'une des limites de l'autorisation, de la politique du véhicule, de l'homologation ou du bac à sable pour être la question de la correction d'une injection. MemGhost ne dépasse aucun d'eux. L'outil de gravure de mémoire, qui est donné par l'agent, utilise exactement comme conçu.

Le problème est né ici d'une préférence très design. Le point que les chercheurs soulignent est: le danger, le contenu peu fiable des systèmes d'intelligence artificielle ne peut pas être lu. Danger est capable d'enregistrer ce contenu comme une mémoire fiable sans une étape de confirmation visible.

Cette Sécurité AI une couche différente de l'empoisonnement fréquent dans les discussions. L'empoisonnement des données se produit pendant la phase d'entraînement et perturbe le modèle. L'empoisonnement à la mémoire se produit au moment de l'opération, le modèle ne change pas du tout et ne vise qu'un seul utilisateur.

Comment les utilisateurs et les développeurs peuvent-ils protéger?

Net solution est la séparation de deux œuvres: lire le courrier non sécurisé et l'écrire à sa propre mémoire.

Le propre guide de sécurité d'OpenClaw's suggère un lecteur séparé d'email non sécurisé. Ce lecteur prend l'agent des mains des outils de mémoire, de fichier et de shell; seulement message un résumé à l'agent principal.

Les auteurs de l'étude défendent que la correction devrait vivre dans l'agent. Les trois points auxquels ils font référence sont les suivants :

• Étiquetage à la source: Lorsque chaque information est enregistrée.

• Approbation écrite : Rien ne rentre dans la mémoire permanente sans interroger l'utilisateur.

• Dossier de vérification : Chaque sort mémoire est enregistré et rétrospectif.

OpenClaw a noté que l'écriture de mémoire contrôle le contenu externe. Source : renseignements, dossiers de vérification et demandes de confirmation à l'ordre du jour.

Le vent du côté de l'entreprise s'étend dans la même direction. Selon les nouvelles publiées dans SecurityWeek Le CNSC du Royaume-Uni a ouvert le programme de défense basé sur des agents appelé Cyber Shield le 7 juillet 2026 et a fait un appel de collaboration large de l'académie aux opérateurs d'infrastructures critiques. Commission européenne le 7 juillet L'intelligence artificielle développée offrait un plan pour les risques de cybersécurité. Le plan est clairement situé où l'IA peut être utilisé pour automatiser les attaques et augmenter l'ampleur des événements.

Que pense la communauté?

La discussion permet de déterminer si l'installation d'essai est équitable.

La gravité de la recherche indique les chiffres de défense. L'application semi-haler des filtres à presque complètement échouer et même les modèles durcis montrent que le problème n'est pas de la race à fermer avec le patch. Il y a aussi un fer inévitable : la vie privée est attendue parce que les agents sont bien conçus. Le seul modèle qui s'adresse lui-même est pris parce que les étapes intermédiaires sont imprimées dans la réponse. Les agents seront obligés de détecter alors qu'ils maîtrisent tranquillement le travail.

Le côté opposé dit qu'OpenClaw n'est pas testé du tout de la configuration d'agent de lecture isolée que l'étude recommande. Le niveau du modèle fait également valoir qu'il crée une différence : les tests ont été exécutés avec GPT-5.4, le coût a été établi par Claude Opus 4.6. L'entreprise montre un exemple d'un concours public que des milliers de courriels d'injection ne peuvent pas cacher d'un agent Opus 4.6. Mais il visait les voleurs de données de race, pas à empoisonner la mémoire. L'appel ne répond donc pas directement au travail. Le niveau du modèle ne fait pas vraiment la différence, Sonnet Claude 5 Il ne sera pas effacé sans un nouveau test sur de nouvelles versions.

Un avertissement mérite aussi de tirer de l'or. Il n'y a pas d'attaque sur le milieu de terrain. Tout a été exécuté avec de fausses boîtes et de faux utilisateurs dans des environnements de test scellés. Les chercheurs ont indiqué qu'ils partageront leurs conclusions avec l'agent touché et les producteurs modèles.

Foire aux questions

Quels sont les outils que l'attaque d'empoisonnement à la mémoire affecte? Chaque agent personnel avec une mémoire permanente et un contenu peu fiable est un risque. OpenClaw et Claude Code SDK ont été testés en fonctionnement. Ce n'est pas le nom du produit, mais il peut lire le contenu externe du même agent et l'écrire à sa mémoire sans avoir besoin d'approbation.

Un utilisateur ChatGPT ordinaire est-il affecté ? Faible probabilité d'impact direct. L'attaque vise des installations que l'agent peut accéder à la boîte entrante et travailler sur le fond lui-même. Non seulement chat, un assistant qui ne se connecte pas à l'email n'est pas ouvert à ce vecteur.

Comment remarquer une mémoire empoisonnée ? Pas facile. Même si l'utilisateur demande directement dans les tests, l'attaque a été cachée dans l'un des quatre cas. Méthode pratique, manuellement et lire les fichiers mémoire de l'agent. Ces fichiers sont conservés en texte simple dans des véhicules comme OpenClaw.

Résoudre le problème pour passer à un nouveau modèle ? Il peut réduire la jalousie, il ne résout pas complètement. Même un modèle durci, l'instruction placée a été appliquée à environ la moitié. Le niveau du modèle réduit le taux de réussite mais n'élimine pas la surface d'attaque, car le problème est dans l'architecture.

Cette attaque est-elle vraiment utilisée ? C'est pas vrai. Résultats de laboratoire. Les tests ont été effectués dans des environnements scellés avec de fausses boîtes et de faux utilisateurs, non utilisés contre des personnes réelles.

La valeur des assistants avec mémoire vient du souvenir de l'utilisateur. La même fonctionnalité donne à l'attaquant une poignée permanente. Marcher avec le clonage sonore Intelligence artificielle identité imitation escroquerie Quand l'utilisateur s'imite, l'empoisonnement de mémoire imite que l'assistant de l'utilisateur le connaît. Le point commun de deux est que l'attaque n'est plus au système. La question de savoir combien d'autorisations aux agents serait de revenir à la question de savoir quelle autorité sera retirée dans la période à venir.