InjecMEM：针对大模型智能体记忆系统的内存注入攻击
文章背景与核心概要
随着大语言模型（LLM）智能体日益依赖持久化记忆系统来实现个性化和任务连续性，新的攻击面随之产生。InjecMEM 是一种新型的内存注入攻击范式，攻击者无需直接读取或编辑底层记忆存储，仅通过单次交互即可操纵智能体未来的行为。
该攻击利用了智能体“检索后生成”（retrieval-then-generate）的架构，通过注入包含“检索无关锚点”（Retriever-Agnostic Anchor）和“对抗性指令”（Adversarial Command）的载荷，确保恶意记录在特定主题查询时被检索并执行。研究人员利用基于梯度的坐标搜索优化了这些指令，证明了该攻击在多种记忆系统和基座模型中均具有高度的有效性与隐蔽性。
InjecMEM：针对大模型智能体记忆系统的内存注入攻击
作者： Hanling Tian, Gengyu Zhang, Zeyang Sha, Jingying Wang, Yuhang Liu, Zhehao Huang, Kun Yang, Xiaolin Huang
发布日期： 2026年8月24日 | 会议： COLM 2026
学科： 密码学与安全 (cs.CR)；人工智能 (cs.AI)
arXiv ID： 2608.23471
摘要
随着大语言模型（LLM）智能体越来越依赖持久化记忆系统来实现个性化和连续性，它们引入了新的攻击面。InjecMEM 是一种新型的内存注入攻击范式，允许攻击者通过单次交互操纵智能体未来的行为，而无需对底层记忆存储进行直接的读取或编辑访问。
As Large Language Model (LLM) agents increasingly rely on persistent memory systems for personalization and continuity, they introduce new attack surfaces. InjecMEM is a novel memory injection attack paradigm that allows an attacker to manipulate an agent's future behavior through a single interaction, without requiring direct read or edit access to the underlying memory store.
该攻击利用了智能体的“检索后生成”架构，通过注入包含以下要素的载荷来实现： * 检索无关锚点（Retriever-Agnostic Anchor）： 高召回率的主题线索，确保在查询特定主题时恶意记录被检索到。 * 对抗性指令（Adversarial Command）： 一种短小且经过优化的序列，旨在即使在不同的上下文、提示词位置和长序列条件下，也能可靠地引导 LLM 的输出。
The attack leverages the agent's "retrieval-then-generate" architecture by injecting a payload consisting of: * A Retriever-Agnostic Anchor: High-recall topical cues that ensure the malicious record is retrieved when specific topics are queried. * An Adversarial Command: A short, optimized sequence designed to steer the LLM's output reliably, even under varying contexts, prompt placements, and long-sequence conditions.
研究人员利用基于梯度的坐标搜索来优化这些指令，证明了该攻击在多种记忆系统和基座模型中均有效，同时通过保持非目标查询不受影响来维持隐蔽性。
The researchers utilized gradient-based coordinate search to optimize these commands, demonstrating that the attack is effective across multiple memory systems and backbone models, while remaining stealthy by leaving non-target queries unaffected.
关键技术贡献
- 单次交互利用： 证明了无需对记忆数据库进行持久访问即可攻陷智能体。
- 鲁棒的注入策略： “锚点-指令”结构的使用确保了攻击即使在记忆漂移和多样的检索条件下依然持续有效。
- 可迁移性： 研究探索了跨不同模型基座的联合优化，证明了该漏洞是一个系统性问题，而非特定模型的缺陷。
- 加固框架： 为研究人员提供了一个可复现的框架，用于评估和缓解自主智能体中基于记忆的漏洞。
- Single-Interaction Exploitation: Demonstrates that agents can be compromised without persistent access to the memory database.
- Robust Injection Strategy: The use of an "anchor-command" structure ensures the attack persists even under memory drift and diverse retrieval conditions.
- Transferability: The study explores joint optimization across different model backbones, proving the vulnerability is a systemic issue rather than a model-specific flaw.
- Hardening Framework: Provides a reproducible framework for researchers to evaluate and mitigate memory-based vulnerabilities in autonomous agents.
访问与资源
提交历史
- [v1] 2026年8月24日（周一）16:37:50 UTC
- [v1] Mon, 24 Aug 2026 16:37:50 UTC