一封郵件就能給AI助手植入虛假記憶，還能讓它對(duì)你撒謊

一個(gè)AI助手，加上你的郵箱權(quán)限，在攻擊者眼里就成了一套可以隨意改寫的記憶系統(tǒng)。研究人員發(fā)現(xiàn)，一封精心設(shè)計(jì)的郵件就能讓AI代理在本地文件中悄悄記下虛假信息，然后帶著這個(gè)“記憶”去回應(yīng)你后續(xù)提出的問題——整個(gè)過程里，你看不到任何異常提示。

這項(xiàng)攻擊被命名為“隱身記憶注入”。相關(guān)研究成果以《當(dāng)爪子記得卻不說》為題，于2026年7月6日發(fā)布在arXiv上。團(tuán)隊(duì)還開發(fā)了一個(gè)名為MemGhost的工具，能自動(dòng)生成攻擊郵件。發(fā)送這些郵件不需要破解你的賬號(hào)密碼，只需要知道你的郵箱地址，然后坐等AI代理自己把郵件讀進(jìn)去。

MemGhost的運(yùn)作依賴對(duì)AI代理工作機(jī)制的精確利用。研究員先離線訓(xùn)練了一個(gè)攻擊模型，這個(gè)模型在一套模擬環(huán)境中反復(fù)嘗試。訓(xùn)練時(shí)只有一個(gè)獎(jiǎng)勵(lì)條件：攻擊郵件被處理后，虛假記憶要成功寫進(jìn)目標(biāo)文件，同時(shí)AI生成的回復(fù)中不能出現(xiàn)任何關(guān)于寫入操作的提示。到了真正攻擊時(shí)，MemGhost一次性生成完整的郵件內(nèi)容，不需要和目標(biāo)系統(tǒng)來回交互，這讓攻擊變得更隱蔽。

個(gè)人AI代理的記憶機(jī)制，變成攻擊入口

要理解這個(gè)攻擊為什么成立，得先了解個(gè)人AI代理是怎么工作的。和用完即忘的聊天機(jī)器人不同，這類代理被設(shè)計(jì)成能長期陪伴用戶。當(dāng)一次對(duì)話結(jié)束時(shí)，它不會(huì)清空所有信息，而是把關(guān)于你的偏好、聯(lián)系人、待辦事項(xiàng)等內(nèi)容存進(jìn)持久化文件。每次新對(duì)話啟動(dòng)時(shí)，它都會(huì)重新讀取這些筆記，這也是為什么它能給人一種“它記得你”的感覺。

很多個(gè)人代理還被賦予了替用戶處理日常事務(wù)的能力，比如讀取郵件、查看日歷、在設(shè)定時(shí)間自動(dòng)執(zhí)行小任務(wù)。本研究中作為主要測(cè)試對(duì)象的開源代理OpenClaw就把這些記錄放在明文文件里：一個(gè)文件存著它的常駐指令，另一個(gè)存著它了解的關(guān)于你的記憶，每次會(huì)話啟動(dòng)時(shí)會(huì)把這些核心文件加載到模型的上下文里。這些筆記既是產(chǎn)品的核心賣點(diǎn)，也成了攻擊者瞄準(zhǔn)的靶子。

三連擊：寫入、隱藏、持續(xù)影響

攻擊郵件混雜在正常的收件箱里，外表看起來沒什么特別的，但它里面藏著的指令不是給人讀的，而是給AI代理讀的。當(dāng)代理的郵件處理功能被觸發(fā)時(shí)，三件事會(huì)按順序發(fā)生：第一，代理利用自己的文件工具把攻擊者預(yù)設(shè)的虛假信息寫進(jìn)持久化記憶文件；第二，它在聊天界面上給出的回復(fù)完全不提剛才做了這次寫入操作；第三，當(dāng)你結(jié)束當(dāng)前對(duì)話、在完全獨(dú)立的后續(xù)會(huì)話中再提問時(shí)，那條虛假筆記已經(jīng)被系統(tǒng)加載，開始影響它給你的答案或替你執(zhí)行的操作。

在這項(xiàng)研究的一個(gè)測(cè)試中，被植入的虛假記憶是“用戶的Zelle每日轉(zhuǎn)賬限額已提升至10000美元”。如果這條信息被代理讀取后用于后續(xù)決策，后果不言自明。用戶很難察覺到這次篡改，原因來自幾個(gè)方面：代理工具通常被設(shè)計(jì)為隱藏后臺(tái)操作步驟，修改文件的動(dòng)作從來不會(huì)出現(xiàn)在對(duì)話界面上；幾乎沒有人會(huì)去翻看那些原始的記憶文件檢查內(nèi)容是否被改動(dòng)；當(dāng)代理在后臺(tái)按計(jì)劃自動(dòng)運(yùn)行時(shí)，它經(jīng)常連一條通知消息都不發(fā)出，根本沒有東西引起你注意。

讓“毒藥”沉淀進(jìn)每一輪對(duì)話

為了保證虛假記憶長期有效，MemGhost會(huì)把目標(biāo)對(duì)準(zhǔn)那些每次會(huì)話都會(huì)加載的核心文件。這意味著攻擊者只需要把虛假信息寫進(jìn)文件一次，它就會(huì)隨著每次新會(huì)話啟動(dòng)被系統(tǒng)自動(dòng)讀取，而不是等著從某個(gè)獨(dú)立的記憶存儲(chǔ)模塊中被調(diào)取。這和只能影響單次交互的攻擊方式有著本質(zhì)區(qū)別：文件一旦被污染，后續(xù)所有對(duì)話都會(huì)受到干擾，直到有人手動(dòng)去打開那個(gè)文件逐條核查。

研究團(tuán)隊(duì)在OpenClaw上的實(shí)驗(yàn)覆蓋了多個(gè)場(chǎng)景。攻擊者的目標(biāo)不限于改變代理對(duì)用戶信息的認(rèn)知，也包括誘導(dǎo)代理在執(zhí)行任務(wù)時(shí)做出錯(cuò)誤判斷。關(guān)鍵在于，所有這些變化都發(fā)生在用戶完全看不見的底層文件層。那個(gè)在界面上看起來完全正常的回復(fù)，實(shí)際上掩蓋了一次寫入操作——回復(fù)的內(nèi)容就是普通的事務(wù)性回復(fù)，沒有語法錯(cuò)誤，沒有可疑鏈接，看起來毫無問題。