MemGhost: jeden email podrzuca fałszywe wspomnienia agentom AI

Zespół badaczy bezpieczeństwa opisał nowy atak o nazwie MemGhost, który jednym spreparowanym mailem potrafi wszczepić agentowi AI fałszywy fakt do trwałej pamięci, ukryć ten zapis przed użytkownikiem i wykorzystać go do zmiany zachowania asystenta w kolejnych, zupełnie niezwiązanych rozmowach.

Jak działa atak

Mechanizm jest prosty w założeniu, ale skuteczny w praktyce. Atakujący wysyła e-mail do osoby, której agent AI monitoruje skrzynkę pocztową, nie potrzebując do tego żadnego hasła ani dostępu do konta. Wiadomość zawiera tekst napisany z myślą o agencie, a nie o człowieku, ukryty wśród pozornie zwyczajnej treści listu.

Jeśli funkcja czytania poczty agenta zaangażuje się w ten fragment, uruchamia trzy kolejne kroki: agent używa własnych narzędzi do zapisu plików, by wprowadzić sfabrykowane dane do trwałej pamięci, generuje widoczną dla użytkownika odpowiedź bez żadnej wzmianki o modyfikacji pamięci, a w kolejnych sesjach automatycznie wczytuje już zatrutą pamięć, co zmienia jego dalsze odpowiedzi.

Skala testów i liczby

Głównym celem eksperymentu był agent OpenClaw działający na modelu GPT-5.4, gdzie w trybie tła atak zadziałał w 87,5 procent z 56 świeżych przypadków testowych. Skuteczność była niższa w trybie, w którym użytkownik na bieżąco obserwuje odpowiedzi agenta, ale wciąż istotna.

Agent zbudowany na Claude Code SDK z modelem Sonnet 4.6 uległ atakowi w 71,4 procent przypadków, a na dwóch dodatkowych frameworkach agentowych skuteczność przekroczyła 80 procent. Pamięci oparte na wektorowych bazach danych okazały się równie podatne co zwykłe pliki tekstowe.

Obrona zawodzi

Filtry treści zaprojektowane do wykrywania zatrutych maili przegapiły payload MemGhost w ponad 90 procentach prób. Modele dodatkowo hartowane, by ignorować instrukcje ukryte w mailach, i tak wykonywały podrzucone polecenia w około połowie przypadków.

Nawet bezpośrednie pytanie użytkownika do agenta w stylu "powiedz mi, co sprawdzałeś" nie ujawniało ataku w około jednej czwartej przypadków dla niektórych modeli. Autorzy zbudowali też benchmark WhisperBench, obejmujący 108 przypadków testowych realistycznych szkód, od skompromitowanych porad finansowych po nieautoryzowane przelewy pieniędzy i sabotaż infrastruktury bezpieczeństwa.

Atak jest bliski realnemu zagrożeniu, a nie tylko artefaktowi laboratoryjnemu - Yechao Zhang, główny autor badania

Co dalej z zabezpieczeniami

Autorzy przetestowali dostawę ataku również przez prawdziwe konta Gmail z użyciem OAuth i Gmail API, potwierdzając, że ponad połowa payloadów wciąż docierała do trwałej pamięci agenta bez wyraźnego powiadomienia użytkownika. To pokazuje, że problem nie jest ograniczony do warunków laboratoryjnych.

Badacze rekomendują systemowe zmiany w architekturze agentów: znakowanie pochodzenia informacji, by odróżnić wiedzę wewnętrzną od danych zewnętrznych, wymaganie zgody użytkownika przed trwałym zapisem treści z zewnątrz, logowanie każdej operacji zapisu do pamięci oraz rozdzielenie czytania nieufnej poczty na osobnego, okrojonego agenta bez dostępu do pamięci, plików i powłoki systemowej.

Koordynowane ujawnienie luki rozpoczęło się 14 lipca 2026 roku wraz z zespołem bezpieczeństwa OpenClaw. Sam benchmark WhisperBench został udostępniony publicznie, natomiast generator payloadów i wytrenowany model pozostają wstrzymane do zakończenia procesu ujawnienia i dodatkowego przeglądu bezpieczeństwa.

MemGhost dołącza do rosnącej listy podobnych odkryć, w tym manualnego zatruwania pamięci ChatGPT opisanego przez badacza Johanna Rehbergera w 2024 roku oraz luki EchoLeak w Microsoft 365 Copilot z czerwca 2025 roku, ocenionej przez Microsoft jako krytyczna. Pokazuje to, że pamięć trwała agentów AI staje się nową powierzchnią ataku, z którą branża dopiero się mierzy.