Skip to content

Translation in progress Some entries still include text in the original language.

Original
arXiv· arXiv:2605.15338· Sidharth Pulipaka, Stanislau Hlebik, Leonidas Raghav, Sahar Abdelnabi, Vyas Raina, Ivaxi Sheth, Mario Fritz·Indexed by this site · Originally publishedSelectedAttention57

隐藏于记忆：LLM Agent 的潜伏记忆投毒

Hidden in Memory: Sleeper Memory Poisoning in LLM Agents

Quick read

Attacks

Based on 论文 PDF （AI 生成）; refer to the original

外部文档可诱导助手写入伪造记忆；工具体制下GPT-5.5的Behavior注入率为99.8%。

Threat model黑盒外部内容对手。无权重、系统提示、记忆写入与检索机制及记忆库访问，且不出现在后续会话。

Questions
带持久记忆的助手会跨会话保存用户信息。攻击者可借外部文档植入伪造记忆，使影响在原恶意上下文消失后仍出现。
Methods
攻击分成写入、检索和使用。Actor-Critic在影子模型上搜索可复用载荷，再改写记忆表述以提高与未来查询的嵌入相似度。评测分开统计IR、RR和AUR。
Experiments and results
工具体制下GPT-5.5的Behavior IR为99.8%（Table 1）。目标邻近智能体AUR为60.0%–89.0%（Table 2）。单次攻击、外部管理器、目标邻近的Behavior端到端成功率为41.0%–73.9%（Table 36）。
Limitations and future work
作者指出单文档威胁模型、记忆管线只部分可观测、未系统评估删除与纠错类防御，且LLM评审与人工存在偏差。主实验覆盖6个助手、两种记忆体制及Behavior与Agent Action数据集。
Experimental setupGPT-5.4、GPT-5.5 et al. · LLM Behavior subset、Agent Action subset et al. · IR、RR et al.
Threat model
黑盒外部内容对手。无权重、系统提示、记忆写入与检索机制及记忆库访问，且不出现在后续会话。只能操纵用户提供的上下文（文档、网页、邮件、仓库等），使助手写入伪造用户记忆，并在日后被检索和使用。
Evaluated models
GPT-5.4GPT-5.5Claude Sonnet 4.6Gemini-3.1-ProKimi-K2.6DeepSeek V4-ProGemma-4-26BGemma-4-E2BGemma-4-E4BGPT-OSS-20BQwen-3.5-9BQwen-3.6-35B-A3B
Benchmarks
LLM Behavior subsetAgent Action subsetMultilingual datasetOpenClaw
Metrics
IRRRAURE2EAUROC
AI summaryand selection rationale研究者提出并研究了潜伏记忆投毒，一种延迟攻击：攻击者通过文档、网页或代码仓库等外部上下文，诱导带持久记忆的 LLM 助手写入关于用户的虚构记忆，该记忆可在后续多次对话中被检索并影响行为。在 GPT-5.5 上投毒记忆写入率最高达 99.8%，Kimi-K2.6 上为 95%；在成功检索的样本中，被投毒记忆在 60–89% 的评测中引发攻击者预期的 Agent 行为。通用投毒载荷在 GPT-5.4 上注入率超过 97%、GPT-5.5 上达 99%。端到端评测中，目标邻近查询的攻击成功率在行为子集为 41.0–73.9%，Agent 行动子集最高 66%。提示词层面的防御可降低注入率，但在不同模型和自适应攻击下表现脆弱。

研究者提出并研究了潜伏记忆投毒，一种延迟攻击：攻击者通过文档、网页或代码仓库等外部上下文，诱导带持久记忆的 LLM 助手写入关于用户的虚构记忆，该记忆可在后续多次对话中被检索并影响行为。在 GPT-5.5 上投毒记忆写入率最高达 99.8%，Kimi-K2.6 上为 95%；在成功检索的样本中，被投毒记忆在 60–89% 的评测中引发攻击者预期的 Agent 行为。通用投毒载荷在 GPT-5.4 上注入率超过 97%、GPT-5.5 上达 99%。端到端评测中，目标邻近查询的攻击成功率在行为子集为 41.0–73.9%，Agent 行动子集最高 66%。提示词层面的防御可降低注入率，但在不同模型和自适应攻击下表现脆弱。

Why it was selected论文量化了记忆投毒在注入、检索与使用三阶段的成功率，部署持久记忆助手的团队可据此评估跨会话攻击面。

Paper analysis

6 questions; open one to read the full answer

  1. What problem does this paper attempt to solve?

    外部内容可把伪造用户记忆写入持久存储，并在后续会话中延迟影响助手。

    持久记忆让一次外部内容暴露可以改写助手以后记住的用户事实，并在原恶意上下文消失后继续影响对话。

    • 场景： 作者称助手正从单轮问答转向跨会话保存偏好、项目和工作流的有状态系统。记忆可由模型调用记忆工具写入，也可由 Mem0 一类外部流程异步汇总；作者认为防御因此难以在写入当下即时施加。
    • 现有不足： 作者称无状态提示注入通常只影响当前会话。已有记忆投毒常假设能直接修改检索语料或记忆库、需要多轮交互，或使用白盒优化，而且目标多是当轮生效。
    • 假设： 作者认为攻击者不必读取记忆库或参加后续对话；操纵文档、网页、邮件或仓库等外部上下文，就可能让系统把伪造内容存成合法用户记忆，从而一对多地影响以后的会话。
    • 本文提出： sleeper memory poisoning，用可复用载荷模板搭配不同对抗记忆目标。评测写入、日后检索和对抗使用，并考察提示类缓解与内部表征是否可分。
    • 威胁模型：
      • 目标： 让对抗记忆在处理带毒文档时被写入，并在另一次对话中被检索，使回复或动作符合攻击者目标而非用户真实意图。
      • 知识： 论文称为 black-box。无权重、系统提示、记忆写入系统、检索机制，也看不到记忆库内容。
      • 能力： 不能直接读写记忆库，也不出现在后续会话。只能控制或操纵用户附带的上下文，包括网页、共享文档、邮件、代码仓库、转录和其他第三方内容。
      • 受害系统： 带持久记忆库的 LLM 助手。写入可以是模型自己的记忆工具，或观察交互后决定保存内容的外部记忆管理器。

  2. What related research exists?

    相关工作覆盖提示注入、工具劫持和记忆投毒；作者强调延迟、可复用和外部投递。

    按第 2 节，作者把本文放在提示注入、工具型失败和持久记忆风险之间，并用延迟生效、载荷可复用、只经外部内容投递来区分。

    • 提示注入： 论文介绍 Fábio Perez（2022）、Greshake 等（2023）、Schulhoff 等（2023）、Liu 等（2024）、Zhan 等（2024）、Heverin（2025）、Yi 等（2025）：模型会把不可信文本当作可执行指令。间接注入把网页、检索文档和邮件纳入同一威胁，并写到数据泄露与不安全工具使用（Greshake 等，2023；Zhan 等，2024；Alizadeh 等，2025）。Zou 等（2023）研究可跨模型迁移的优化攻击字符串。作者称本文沿用该文献，但把效果推迟到后续会话。
    • 智能体与工具调用： Schmotz 等（2026）、Shi 等（2025b）、Debenedetti 等（2024）研究技能执行、工具选择和智能体环境中的提示注入。作者称工具使用会放大注入后果；本文除记忆写入外不直接劫持当轮工具调用，而是污染日后可能影响文件处理、代码执行或工具使用的状态。
    • 持久记忆风险： OpenAI（2025）、Anthropic（2025a）、Google（2024）的助手用记忆做跨会话个性化。Pulipaka 等（2026）与 Mireshghallah 等（2025）讨论记忆在不适当上下文中被使用，以及记忆引起的迎合。Chen 等（2024）、Zou 等（2025）、Dong 等（2025）、Tian 等研究向检索库、智能体记忆或长期记忆插入对抗内容。Chen 与 Lu（2025）、Microsoft Defender Security Research Team（2026）从部署角度写网页和推荐植入；Raghav 与 Choong（2026）研究网页智能体抓取带隐藏 HTML 指令的页面。Section 6.1 点名的不适用条件是：Chen 等（2024）与 Zou 等（2025）假设直接语料访问，Dong 等（2025）依赖多轮交互，Tian 等使用白盒优化。
    • 基线与数据： 攻击基线是 User Review（Raghav 与 Choong，2026），把对抗目标放进附于文档之后的伪造用户评论。评测用自建注入集和注入后会话，文档来自新闻、法律、代码、论文、专利、财报电话会等 15 类来源。智能体环境按 OpenClaw 搭建；部分良性记忆来自 PersistBench（Pulipaka 等，2026）。

    作者称本文的目标沿三个轴更难：sleeper 行为、通用性、外部投递。对手操纵助手会处理的外部上下文，不需要直接访问记忆库，并用可与不同对抗记忆目标组合的可复用指令。

  3. How does the paper address this problem?

    先用Actor-Critic搜索通用写入模板，再改写记忆以提高日后语义检索命中。

    整体上，sleeper memory poisoning 不在攻击生成阶段直接优化当轮回复，而是诱导记忆写入机制把伪造用户记忆存入记忆库，再指望日后检索把它带回生成过程。

    问题设定与成功条件

    • 助手维护持久记忆库 M。用户输入由查询和附加上下文组成。处理当前输入时，记忆更新为 M′ = M ∪ W(U, M)，即写入结果并入原记忆库。稍后的回复条件于对新输入检索到的记忆。
    • 攻击者把良性上下文与载荷拼在一起。载荷不是目标记忆本身，而是诱导写入机制把指定内容当成合法用户记忆的指令模式。
    • 成功要同时满足注入、检索和对抗使用。通用攻击在文档、对抗目标和未来输入的分布上最大化三者同时成立的期望，即 maxPadv𝔼[Iinj Iret Iuse]。实验分别报告 IR、RR、AUR。
    • 工具体制中，目标模型通过记忆工具或原生接口自己写入，文中举 ChatGPT、Claude、Gemini。外部管理器体制中，目标模型先正常回复，单独组件再决定保存什么，文中以 Mem0 为代表。

    通用载荷搜索

    • 目标系统不提供梯度，只暴露是否写入。作者采用改编自 Shi 等（2025a）的 LLM actor–critic 搜索：攻击模型提出模板，在文档–目标批次上测试；批评模型查看失败或部分成功样本并指出原因，例如载荷被忽略、被当成不可信文档、未显得与用户相关，或写入格式不对。
    • 主文只写最多 K 轮精炼，未给 K。附录 C.1 写批次为 3 篇文档，每批最多 10 轮，并在影子模型上大约跑 200 轮。Kimi-K2.5 同时任 Actor 和 Critic，GLM-4.7-Flash 为影子 LLM。开发集 125 对，与评测集不相交。
    • 筛选是：30 个对影子模型成功的候选，Claude-Haiku-4.5 在 30 条开发样本上留前 10，Claude-Sonnet-4.5 在另 30 篇文档上按留出 IR 选定模板。作者称这是为降低对搜索环境的过拟合。
    • 自适应变体 AC+ 用同一循环，但打分时打开目标防御，使批评反馈针对防御造成的失败。附录 M.4 给出攻击器与批评器提示，此处不复述其中的句式约束。

    检索导向的目标改写

    • 作者假设许多助手按语义相似度检索，因此把原始记忆目标改写成与一组目标查询更接近、同时保持原意的表述。候选由 LLM 迭代生成，按嵌入余弦相似度对查询集取平均，再由语义一致性评审剔除改变原意者；若无一通过，就保留原文。
    • 附录 C.2 使用 text-embedding-3-small；每个目标 5 轮，每轮向 gpt-5.4-mini 要 20 条释义。作者称不需要记忆库或未来对话，只需指定一组看起来与目标相关的查询。使用指标不在生成阶段优化，只在评测中检查。

    数据、检索与判定

    • 注入集有 700 个（文档，目标）对、15 类外部上下文。Behavior 500 条，针对对话行为、偏好、信念或人设；Agent Action 200 条，针对工具使用、执行路径或操作行为。样本可带良性预存记忆。
    • 注入后评测抽 400 个目标，两类各 200，且各有一半查询与目标邻近、一半远离。Behavior 的未来任务是 3 到 6 轮对话；Agent Action 在 OpenClaw 模拟环境中进行，原对抗文档已移除。
    • 主文把写入与注入后阶段拆开，以免低 IR 模型的检索和使用估计样本过少。文中举例：Claude Sonnet 4.6 在 Agent Action 上只有 15 次成功注入。直接要求保存原始目标时，部分模型会拒绝，作者改用其他模型生成的释义（Table 10）。耦合端到端率另报于 Appendix I。
    • IR 只在写出内容与目标语义对齐时记成功，不是只要发生写入。检索比较嵌入语义检索、LLM 外部管理器和全部记忆入上下文；Table 2 用外部管理器。IR 与 AUR 由 LLM-Judge 评分，提示与人工一致性在附录 M.5。

  4. What experiments did the paper conduct?

    工具体制下GPT-5.5的Behavior IR为99.8%；目标邻近智能体AUR为60.0%–89.0%。

    实验设置

    • 被测助手： GPT-5.4、GPT-5.5、Gemini-3.1-Pro、Claude Sonnet 4.6、Kimi-K2.6、DeepSeek V4-Pro。均用默认设置和模型专用系统提示（Section 6.1）。机理分析另用 Gemma-4-26B、Gemma-4-E2B、Gemma-4-E4B、GPT-OSS-20B、Qwen-3.5-9B、Qwen-3.6-35B-A3B。
    • 数据： 注入集 700 对、15 类文档来源；Behavior 500，Agent Action 200。注入后评测各 200，邻近与远离各 100（Section 5.2）。另有 20 种语言、200 篇的多语言集（Table 50）。
    • 方法与基线： Actor-Critic 对 User Review。记忆体制分工具自写和外部管理器；主实验管理器为 Gemini-3.1-Flash-Lite（Appendix E.2）。
    • 指标与评审： IR、RR、AUR。IR 要求语义对齐。Table 2 的 AUR 以记忆已被检索并放入上下文为条件。评审是 LLM-Judge；Appendix A 报告与人工标注的一致性为 Behavior QWK=0.7288、Agent Action Acc. 97.5%。
    • 检索与解耦： 主表用外部记忆管理器；另有嵌入检索和全部记忆入上下文（Section 5.3）。阶段结果在正文拆开报告，耦合率在 Appendix I。
    • 区间： 主表给 95% bootstrap 置信区间。Section 6.1 未写独立重复次数。Claude 工具体制主结果用截断系统提示；配对 n=50 时，全量提示 IR 为 32/50，截断提示为 31/50（Appendix E.1.1）。

    主结果

    下表是 Actor-Critic 的 IR（%）。列依次为 Behavior 工具、Behavior 外部、Agent Action 工具、Agent Action 外部。数字与区间半宽据 Table 1。表中 Sonnet-4.6 即 Claude Sonnet 4.6。

    Swipe horizontally to read the table

    模型Beh.工具Beh.外部Agent工具Agent外部
    GPT-5.499.4±0.780.4±3.597.0±2.561.5±6.5
    GPT-5.599.8±0.375.0±3.891.5±3.846.5±7.3
    Sonnet-4.664.2±4.213.6±3.06.5±3.55.5±3.3
    Gemini-3.188.6±2.754.2±4.467.0±6.559.0±7.0
    Kimi-K2.695.0±1.978.8±3.681.0±5.565.0±6.5
    DeepSeek-v496.2±1.786.4±3.088.5±5.282.5±5.0
    • 作者称 Actor-Critic 高于 User Review。同表工具体制 Behavior 上，User Review 对 GPT-5.4、GPT-5.5 为 3.0±1.5、4.2±1.7，对 Claude 为 0.0±0.0；对 Gemini-3.1、Kimi-K2.6、DeepSeek-v4 则为 62.4±4.2、62.8±4.4、79.0±3.6。
    • 作者称 Agent Action 通常低于 Behavior。Table 1 里外部体制的 Gemini-3.1 方向相反。作者称在含多种攻击和防御的汇总里，商业操纵与操作破坏更容易注入，个人属性捏造、数据外泄和暴力执行更难（Table 21）；该表分母不是 Table 1 的无防御样本。
    • 作者称 Claude 更常明确拒绝，其他模型更多静默忽略。Table 25 在无防御、文献基线与不带不可信标记的 Actor-Critic 未写入样本中：Claude 的 Behavior 拒绝占 284/678（41.9%），GPT-5.4 忽略占 461/488（94.5%）。

    注入后检索与使用

    • 测了什么： 新会话中原对抗文档已移除。Table 2 用外部记忆管理器，并按目标邻近、目标远离分开。AUR 以记忆已进入上下文为条件。这是与注入成功解耦后的标准化记忆，不等于 Appendix I 的耦合使用率。
    • Behavior： 作者报告邻近 RR 为 90.0%–95.0%，远离为 3.0%–8.0%；邻近 AUR 从 GPT-5.4 的 42.0% 到 DeepSeek-v4 的 85.0%，远离为 0.0%–6.0%（Table 2）。
    • Agent Action： 邻近 RR 为 94.0%–98.0%，远离为 13.0%–18.0%；邻近 AUR 从 Claude-Sonnet-4.6 的 60.0% 到 Gemini-3.1 的 89.0%，远离仍为 6.0%–17.0%，每个模型都非 0。作者称主失败模式是情境同化：记忆像偏好、约束或流程要求时更容易被采纳。引言把智能体设置下的检索率写成 60%–89%；Table 2 的邻近 RR 是 94.0%–98.0%，60.0%–89.0% 与同表邻近 AUR 一致。

    防御

    • 测了什么： 工具体制下四种提示防御，各对基础 AC 和自适应 AC+（Table 3）。AC+ 在防御开启的环境里重新搜索载荷。
    • 结果： GEPA 与 Hardening+Spotlighting 在 Sonnet-4.6、Gemini-3.1 的两个子集上，IR 为 0.0% 或 0.2%。Behavior 上 GEPA 的 Kimi-K2.6 从 AC 的 6.2% 到 AC+ 的 64.6%。同格 DeepSeek-v4 在表中从 0.4% 到 25.2%；正文写到 21.8%，此处以 Table 3 为准。Naive Prompt Hardening 对 GPT-5.4 的 Behavior IR 仍为 96.8%（AC）和 93.2%（AC+）。
    • 作者解读： 作者称提示防御可以压低部分模型的注入，但不能提供跨模型、抗自适应的保护。直接记忆保存请求上，两种提示防御的总写入率为 0.999，语义匹配为 0.951（Table 42，840 条）。作者还称 Gemma-4-26B 文档扫描的定位分高于 0.96；Table 39 三列分别为 0.955、0.958、0.985。

    端到端、生产界面与表征

    • 耦合成功率： Table 36 是单次固定攻击、外部管理器检索，表中无 DeepSeek-v4 列。目标邻近 E2Eemm：Behavior 为 41.0%–73.9%，Agent Action 为 3.0%–66.0%。远离查询：Behavior 为 0.0%–1.0%，Agent Action 为 0.0%–5.0%。语义检索的端到端率是用外部管理器的使用率估计的，不是单独测得的使用率。
    • 生产网页： 子集上 ChatGPT-5.4 Thinking 与 Claude-Sonnet-4.6 均为 24/25；Kimi-K2.6 为 22/25（88.0%），其中 Behavior 12/13、Agent Action 10/12。Gemini 3.1 Pro Preview 为 10/13 与 6/12（Table 56）。作者称部分 Gemini 运行中模型表示不能形成记忆，或称已保存但界面看不到。
    • 表征： Table 4 汇总单层探针 AUROC 为 0.93–0.99，融合多层探针常高于 0.95；共享 PCA 迁移为 0.48–0.54，Procrustes 为 0.74–0.85，目标原生上界为 0.77–0.88。作者称成功注入的攻击注意力质量高于失败；文末注入时 Gemma-4-26B 为 0.8 对 0.5，Qwen-3.6-35B 为 1.4 对 0.8（均已乘 10^3）。GPT-OSS-20B 有注意力，但该子集成功注入为 0。图注称可分性多在中间到后部解码层最强；已附文本未列出各层 AUROC。

    其他消融与分析

    • 预存记忆（Table 24，外部管理器，Behavior，Gemini-3.1）：无记忆 IR 19.0%（95/500），有记忆 39.0%（195/500）。
    • 管理器模型（Table 18，六名主体各 70 条后汇合）：Claude-Haiku-4.5 的 IR 为 24.3%，Gemini-3.1-Flash-Lite 为 63.8%；作者称相差 2.6 倍。
    • 攻击位置（Table 48，Extreme Spotlighting，自适应攻击，Behavior）：Kimi-K2.6 在文内靠前为 61.0%、文末为 3.0%；GPT-5.5 同两处为 8.0% 与 4.0%。
    • 多语言、无防御、工具体制、Actor-Critic（Table 51）：GPT-5.5 的 IR 为 99.5%，Claude-Sonnet-4.6 为 66.0%，DeepSeek-v4-Pro 为 95.5%。
    • 提供者设置互换（Table 57，100 条，无防御，Actor-Critic）：GPT-5.5 在 GPT、Claude、Gemini 风格下的 IR 为 97.0%、3.0%、1.0%。
    • 措辞与结构（Table 55，无防御，30 条）：save 表述下 Kimi-K2.6、GPT-5.4、Claude-Haiku-4.5 的平均 IR 为 95.8%、97.5%、24.2%；note 表述为 4.2%、2.5%、0.0%。作者称结构包装是次要因素。附录 L.3 给了模板，此处不复述。

  5. What are some points that can be further explored?

    作者指出评审偏差、管线不可完全观测、单文档设定，以及未系统评估删除与纠错。

    作者指出的局限与后续方向

    • 评审与人工判断可能不一致： 注入后使用由 LLM 评审分析。与人工标注的一致性为 Behavior QWK=0.7288、Agent Action Acc. 97.5%；作者写明间接对抗影响的边界情况仍可能有出入（Appendix A）。
    • 提供者记忆管线只部分可观测： 作者写明尽量保留原生文档渲染、记忆工具语义和记忆放置，但有些设置依赖泄露、重构或经验推断的提示，而不是确切的部署提示（Appendix A）。
    • 威胁模型是每会话单份对抗文档： 作者写明跨多份文档、网页、邮件或重复暴露的复合攻击可能提高成功率或持久性（Appendix A）。
    • 未系统评估一类防御： 作者写明没有系统评估记忆删除、纠正、用户复查或带来源信息的编辑（Appendix A）。
    • 后续防护对象： 结论称需要新的记忆防护，管什么被写入、被检索以及如何据此回复（Conclusion）。
    • 探针尚未接入写入治理： 作者把把探针检测并入完整的记忆写入治理流程留作后续工作（Appendix K.3）。

    实验覆盖范围

    • 主实验助手为 GPT-5.4、GPT-5.5、Gemini-3.1-Pro、Claude Sonnet 4.6、Kimi-K2.6、DeepSeek V4-Pro，默认设置；工具体制与外部管理器体制都报告了 IR（Section 6.1，Table 1）。
    • 注入集为 700 对、15 类文档来源，Behavior 500、Agent Action 200；注入后评测各 200，邻近与远离各半（Section 5.2）。
    • 检索包含嵌入检索、LLM 外部管理器和全部记忆入上下文；Table 2 使用外部管理器。Appendix I 的 Table 36 报告五个模型的耦合端到端率，表中无 DeepSeek 列。
    • 工具体制防御包括 Naive Prompt Hardening、GEPA Prompt Hardening、Extreme Spotlighting、Hardening+Spotlighting，以及 AC 与 AC+（Table 3）。检测方向包括 LLM 文档扫描，以及六个开源模型上的激活探针（Section 7）。生产网页验证每个系统 25 条子集（Table 56）。
    • Appendix A 给出评审一致性数字，该节未写标注样本量。Section 6.1 报告 95% bootstrap 区间，未写独立重复次数。主文 IR/AUR 的评审模型名称放在附录 M.5，已附正文未写出该名称。

  6. Summarize the main content of the paper

    持久记忆成为跨会话攻击面：通用载荷可写入伪造记忆，并在相关后续任务中影响行为。

    sleeper memory poisoning 研究带持久记忆的 LLM 助手：外部文档能否让助手存下一则伪造的用户记忆，并在原文档消失后的新会话里被取回、用来改变回复或动作。

    • 问题： 作者认为一次对抗暴露可以影响多个未来对话。对手是 black-box，不能直接读写记忆库，也不参加后续会话，只能操纵用户附带的文档、网页、邮件或仓库。
    • 做法： 用 Actor-Critic 在影子模型上搜索可复用写入模板，再把记忆目标改写成更接近未来查询、同时保持原意的表述。成功定义为写入、检索和使用同时发生。主实验把三阶段拆开，避免低写入率模型的后续估计样本过少；Appendix I 再合成端到端率。
    • 写入： Table 1 的工具体制、Actor-Critic、Behavior 上，GPT-5.5 的 IR 为 99.8%，Kimi-K2.6 为 95.0%，Claude Sonnet 4.6 为 64.2%。同方法的 Agent Action 上，Claude 为 6.5%。外部管理器体制整体更低，但不是每一格都更低。
    • 日后影响： Table 2 在外部管理器、目标邻近、且记忆已进入上下文的条件下，Agent Action 的 AUR 为 60.0%–89.0%。Behavior 的远离查询 AUR 为 0.0%–6.0%。作者称记忆越像当前任务的有用上下文，越容易被采纳。
    • 合成、界面与防御： Table 36 的单次攻击、外部管理器、目标邻近 E2E 中，Behavior 为 41.0%–73.9%，Agent Action 为 3.0%–66.0%；该表没有 DeepSeek 列。生产网页子集上，ChatGPT-5.4 Thinking 与 Claude-Sonnet-4.6 为 24/25。作者称部分提示防御能压低注入，但对模型和自适应攻击并不一致。
    • 作者结论： 作者认为持久记忆构成跨会话攻击面，后续防护应管写入、保留、检索和使用；并称现有提示缓解还不能跨模型稳定挡住自适应载荷。
Read originalarxiv.org