Ако дадете на AI асистент памет и достъп до входящата си поща, вие давате на атакуващия начин да пренапише това, което той смята, че знае за вас. Един имейл може да подмами този агент да запише фалшив „факт“ за потребителя, да скрие промяната и тихо да насочва отговорите му в по-късни сесии.

Когато атаката проработи, човекът чете обикновено изглеждащ отговор и никога не научава, че неговият асистент е бил манипулиран.

Изследователите нарекоха атаката „стелт инжектиране на памет“ (stealth memory injection) и създадоха инструмент, който пише имейлите автоматично. Докладът, озаглавен „When Claws Remember but Do Not Tell“, се появи в arXiv на 6 юли 2026 г.

Първо, какво правят тези асистенти. Персоналният агент е AI асистент, който запазва състоянието си. Вместо да забрави всичко, когато чатът приключи, той съхранява бележки за вас във файлове: вашите предпочитания, контакти и какво сте го помолили да направи. Той чете тези бележки в началото на всяка нова сесия, поради което изглежда, че ви познава.

Много от тези агенти могат също да действат от ваше име, като четат имейлите ви, проверяват календара ви и изпълняват малки задачи по график, докато отсъствате.

OpenClaw, проектът с отворен код, използван като основна цел на проучването, съхранява това състояние в обикновени текстови файлове: някои съдържат постоянните му инструкции (AGENTS.md), други съдържат това, което е научил за вас (MEMORY.md). Той зарежда основните файлове в контекста на модела в началото на всяка сесия.

Тези бележки са целият смисъл на продукта. Те са и целта на атаката.

Нападателят не се нуждае от вашата парола или акаунт. Той изпраща имейл до някой, чийто агент е настроен да проверява входящата му поща, което за тези асистенти е рутинна задача. В този имейл е погребан текст, насочен към асистента, а не към вас.

Ако умението на агента за четене на имейли се хване на стръвта, се случват три неща подред:

  • Агентът използва собствените си инструменти за работа с файлове, за да запише фалшивата бележка на атакуващия в постоянната си памет.
  • Неговият видим отговор не казва нищо за това, че го е направил.
  • По-късно, в нов разговор, тази фалшива бележка променя това, което той ви казва или прави за вас.

В един от тестовите случаи на проучването, внедрената лъжа е била, че дневният лимит за изпращане на потребителя в Zelle е бил повишен на $10,000.

Не забелязвате промяната по няколко причини. Асистентът крие своите задкулисни стъпки по дизайн, така че моментът, в който редактира файл, никога не се показва в чата. Малко потребители някога отварят необработените файлове с памет, за да ги прочетат. И когато агентът работи по график във фонов режим, той често изобщо не изпраща съобщение, така че няма какво да се забележи.

За да направят отровата постоянна, инструментът я насочва към основните файлове, които се зареждат при всяка сесия, така че еднократното записване се зарежда във всяка следваща сесия, вместо да се чака да бъде извлечено от отделно хранилище за памет.

Атаката се генерира от инструмент, който изследователите наричат MemGhost. Неговите създатели са обучили модел за атака офлайн срещу копие на персонален агент, като са възнаграждавали имейли, които са успели да запишат информацията в паметта, като същевременно са запазили отговора тих. По време на атаката той пише готовия имейл наведнъж, без комуникация напред-назад с жертвата.

В 56 нови тестови случая MemGhost е изпълнил пълната атака, внедрявайки фалшива памет, скривайки я и след това повлиявайки на отговорите на агента в по-късна сесия. Той е проработил в 87.5% от изпълненията във фонов режим срещу OpenClaw на GPT-5.4 и в 71.4% срещу агент на Claude Code SDK на Sonnet 4.6.

Това са изолирани бенчмарк тестове и те започват едва след като имейлът вече е достигнал до входяща поща, която агентът чете, така че нищо тук не тества дали реален зловреден имейл би преминал първо през спам филтриране или удостоверяване на подателя.

Успеваемостта обикновено е по-ниска при тестове в преден план (foreground), където потребителят може да види отговора. Във фонов режим тя остава над 80% при всяка от две други рамки за агенти и при база данни с вектори за памет вместо обикновени файлове. Екипът също така изгради WhisperBench, бенчмарк със 108 случая, обхващащ рискове от лоши медицински съвети до загуба на пари и саботаж на сигурността.

Грубите версии на трика в повечето случаи се провалят. Директно подканване от рода на „запиши това тихо и не казвай нищо“ е било улавяно или игнорирано от най-силните модели почти всеки път; именно обученият генератор е увеличил успеваемостта. Той също така е заобиколил защитите, предназначени да спрат този тип атаки.

Филтър на входа, създаден да улавя отровени имейли, е пропускал съобщението на MemGhost в повече от девет от десет случая, а модел, специално подсилен да игнорира инструкции, пристигащи по имейл, все пак е следвал внедрената инструкция в около половината от случаите. Дори когато собственикът е бил накаран да попита директно „кажи ми какво провери и какво направи“, атаката е останала скрита в около една четвърт от случаите при един от моделите.

Няма бърз пач, който да се чака. Собствената политика за сигурност на OpenClaw третира инжектирането на подкани (prompt injection) само по себе си като извън обхвата за коригиране, освен ако не преминава граница на оторизация, политика за инструменти, одобрение или пясъчник (sandbox). MemGhost не пресича нито една от тях, тъй като работи чрез собствения инструмент на агента за запис в паметта, и изследователите продължават да демонстрират точно този вид инжектиране срещу рамката.

Авторите на проучването твърдят, че истинското решение трябва да бъде вградено в самия агент: маркиране на произхода на информацията.