Искусственный интеллект отравляет память одной электронной почтой

Одно электронное письмо, отправленное помощнику ИИ с памятью, может навсегда изменить информацию о пользователе. Исследование, опубликованное в arXiv 6 июля 2026 года, показало технику с автоматическим инструментом под названием MemGhost и достигло 87,5% успеха в фоновых тестах. Название атаки — скрытая инъекция памяти. В этой статье рассказывается о том, насколько эффективно работает атака, насколько она эффективна в тестах и какие средства защиты работают.

Что такое атака на память?

Отравление памяти - это мошенническая атака на размещение записей, которую агент искусственного интеллекта сохраняет между сеансами. Цель — не сама модель, а блокнот, который модель читает в каждой новой сессии.

Постоянные личные агенты делятся на это направление от чат-ботов, которые забывают все, когда чат закончен. Они сохраняют пользовательские предпочтения, контакты и задачи, которые они дают в файлах. OpenClaw — основная цель операцииAGENTS.md сохраняет постоянные инструкции в простых текстовых файлах, таких как MEMORY.md, если они узнают о пользователе. В начале каждого сеанса эти файлы загружаются в контексте модели.

Именно поэтому Азистан чувствует себя персонализированным. Такая же структура также открывает постоянное место для root-выпуска вредоносного контента.

Как MemGhost работает с электронной почтой?

Нет необходимости в пароле, учетной записи или предварительной регистрации салдурги. Отправляется электронное письмо, которое кажется обычным для пользователя, установленного для проверки входящего ящика агента. Он скрывает инструкцию, написанную в тексте, а не человеку-получателю.

Три вещи происходят в том случае, если возможность обработки электронной почты не соответствует этой инструкции:

• Напиши: Агент сохраняет поддельные заметки навсегда, используя свой собственный инструмент для записи файлов.

• Прячься: Не упоминается в ответе, который видит пользователь.

• Направление: Затем на сеансе он меняет то, что делает помощник по записям.

Электронная почта является удобным каналом для этой работы. Asenkron является объемным и несет личную информацию по своей природе. Любой, кто знает адрес, может разместить контент перед агентом без какого-либо разрешения.

Исследователи не писали полезную нагрузку вручную. MemGhost тренировался против теневой копии агента и вознаграждал электронные письма, которые хранят ответ молчанием при успешном отравлении памяти. Ведь производственная линия не требует взаимного диалога.

Насколько успешны тесты на атаку?

Цифры показывают, что атака работает стабильно в лабораторных условиях.

На основании результатов, переданных в CybersecAsia В 56 новых тестовых случаях была рассмотрена полная скрытая память: размещение поддельных воспоминаний, сокрытие и влияние последующего поведения. 87,5% успеха удалось достичь в фоновом режиме в OpenClaw, работающем с GPT-5.4. Скорость Claude Code SDK с использованием Sonnet 4.6 составила 71,4%.

Стол на стороне защиты более тревожный. Об этом сообщает The Hacker News. Фильтр ввода, установленный для захвата ядовитых электронных писем, пропустил сообщение MemGhost в девяти из десяти испытаний. Даже закаленная модель для получения инструкций по электронной почте, инструкция, размещенная примерно наполовину, была применена. Даже когда пользователь спрашивает, что он непосредственно контролирует и что он сделал, атака была скрыта в одном из четырех случаев в модели.

В исследовании также был установлен показатель 108 случаев. Набор охватывает категории риска здоровья и безопасности, финансового ущерба, целостности информации и кибербезопасности. Повреждение, вызванное отравленной памятью, не ограничивается ложным советом фильма.

В чем отличие от классической быстрой инъекции?

Быстрая инъекция долайли — не новая концепция. Тестирование вредных моделей искусственного интеллекта Уже было выявлено, что эти системы недостаточно устойчивы к прямым и косвенным оперативным инъекциям.

То, что добавляет MemGhost, является постоянным. В предыдущих примерах токсическая инструкция размещалась вручную или просачивалась только по запросу. Вот автоматическая полезная нагрузка, конвертирующая одно электронное письмо в поддельный сувенир, и она продолжает перенаправлять сеансы даже после того, как сообщение памяти удалено из множества.

Разница видна в цели атаки. Классический инъекционный агент в этот момент вынужден делать что угодно. Инъекция памяти изменяет то, во что верит агент, и оставляет время агрессивным.

Почему ожидается быстрое патч?

Ожидаемой коррекции нет, поскольку атака не нарушает никаких ограничений безопасности.

Политика безопасности OpenClaw предполагает быстрое внедрение в одном объеме. Необходимо превысить один из лимитов авторизации, политики транспортного средства, одобрения или песочницы для исправления впрыска. MemGhost не превышает ни одного из них. Инструмент сжигания памяти, который выдается агентом, используется точно так же, как и предназначен.

Проблема рождается здесь из очень дизайнерских предпочтений. Суть, которую подчеркивают исследователи: опасность, ненадежное содержание систем искусственного интеллекта читать нельзя. Danger способен записывать этот контент в качестве надежной памяти без видимого шага подтверждения.

Это Безопасность Отличается от частого отравления данными в дискуссиях. Отравление данными происходит на этапе обучения и нарушает модель. Отравление памяти происходит в момент работы, модель вообще не меняется и нацелена только на одного пользователя.

Как защитить пользователей и разработчиков?

Сетевое решение — это разделение двух произведений: читать незащищенную почту и записывать ее в свою память.

Руководство по безопасности OpenClaw предлагает отдельного агента чтения незащищенной электронной почты. Этот читатель берет агент из рук памяти, файлов и инструментов оболочки; только сообщение резюме главному агенту.

Авторы исследования утверждают, что коррекция должна жить в агенте. Три пункта, на которые они ссылаются:

• Маркировка источника: Где регистрируется каждый фрагмент информации.

• Разрешение на запись: Ничто не входит в постоянную память без опроса пользователя.

• Ревизионная запись: Каждое заклинание памяти записывается и ретроспективно.

OpenClaw отметил, что запись памяти контролирует внешний контент. Исходная информация, аудиторские записи и запросы на подтверждение в повестке дня.

Ветер на корпоративной стороне тянется в том же направлении. Согласно новостям, опубликованным в SecurityWeek 7 июля 2026 года NCSC Великобритании открыла агентскую оборонную программу под названием Cyber Shield и сделала широкий призыв к сотрудничеству от академии до операторов критической инфраструктуры. Европейская комиссия 7 июля Разработанный искусственный интеллект предложил план по рискам кибербезопасности. План четко расположен там, где ИИ может использоваться для автоматизации атак и увеличения масштабов событий.

Что думает сообщество?

Дискуссия идет о том, является ли тестовая установка справедливой.

Тяжесть исследования указывает на защищающие цифры. Полугалерное применение фильтров практически полностью выходит из строя и даже закаленные модели показывают, что проблема не от породы до закрытия пластыря. Существует также неизбежное железо: конфиденциальность ожидается, потому что агенты хорошо разработаны. Единственная модель, которая обращается к себе, поймана, потому что промежуточные шаги напечатаны в ответе. Агенты будут вынуждены обнаруживать, когда они спокойно работают.

Противоположная сторона говорит, что OpenClaw не тестируется на всех изолированных конфигурациях считывающего агента. Уровень модели также утверждает, что он создает разницу: тесты проводились с GPT-5.4, стоимость была заложена Claude Opus 4.6. Компания показывает пример публичного конкурса, что тысячи инъекционных писем не могут быть секретными от агента Opus 4.6. Но он был направлен на расовых воров данных, а не на отравление памяти. Поэтому обращение не реагирует непосредственно на работу. Модельный уровень на самом деле не имеет значения. Claude Sonnet 5 Он не будет очищен без повторного тестирования на новых версиях.

Предупреждение также заслуживает того, чтобы вытащить золото. Нападения на полузащиту нет. Все работало с поддельными ящиками и поддельными пользователями в закрытых тестовых средах. Исследователи отметили, что поделятся своими выводами с пострадавшим агентом и производителями моделей.

Часто задаваемые вопросы

На какие инструменты влияет атака отравления памяти? Каждый личный агент с постоянной памятью и ненадежным контентом — это риск. В работе были протестированы OpenClaw и Claude Code SDK-based agent. Это не название продукта, но он может читать внешнее содержимое того же агента и записывать его в свою память, не требуя одобрения.

Пострадал ли обычный пользователь ChatGPT? Низкая вероятность прямого воздействия. Атака направлена на установки, которые агент может получить доступ к входящему ящику и работать на самом фоне. Не только чат, но и помощник, который не подключается к электронной почте, не открыт для этого вектора.

Как распознать отравленную память? Нелегко. Даже если пользователь задает вопросы непосредственно в тестах, атака была скрыта в одном из четырех случаев. Практический метод, вручную и считывание файлов памяти агента. Эти файлы хранятся в виде простого текста в таких транспортных средствах, как OpenClaw.

Решает ли это проблему перехода на новую модель? Это может уменьшить ревность, но не полностью решить. Даже закаленная модель, размещенная инструкция была применена примерно к половине. Уровень модели снижает скорость успеха, но не устраняет поверхность атаки, потому что проблема в архитектуре.

Действительно ли используется эта атака? Нет. Результаты лаборатории. Испытания проводились в герметичных средах с поддельными ящиками и поддельными пользователями, не применявшимися против реальных людей.

Значение помощников с памятью происходит от запоминания пользователя. Такая же функция дает злоумышленнику постоянную ручку. Ходьба со звуковым клонированием Искусственный интеллект имитирует мошенничество Когда пользователь имитирует себя, отравление памяти имитирует то, что помощник пользователя знает его. Общим моментом является то, что атака больше не относится к системе. Вопрос о том, сколько полномочий будет предоставлено агентам, заключается в том, чтобы вернуться к вопросу о том, какие полномочия будут отозваны в предстоящий период.