InjecMEM：针对 LLM Agent 记忆系统的记忆注入攻击

研究者提出 InjecMEM，一种只需一次交互、无需读取或编辑记忆存储即可向 LLM Agent 记忆系统注入记录的攻击，使后续针对目标主题的查询被导向预设输出。在 MemoryOS 上，其检索成功率最高 35.4%、条件攻击成功率 76.6%，而 DPI、BadChain 与 GCG 基线均降至 0；攻击在良性记忆漂移下仍有效，非目标查询基本不受影响，在 MemGPT 上同样有效。同族联合优化可让命令迁移到 3B、14B 及微调变体，跨族迁移有限，但拼接多个单模型命令可同时影响 Qwen、Mistral 与 Llama。检索期防御测试显示 LLM-as-a-Judge、ProtectAI、PromptGuard 只能降低而不能消除投毒检索，困惑度过滤则以大量良性拦截为代价。论文还展示经被入侵工具写入记忆的间接注入，即使工具被修复，记录仍留在记忆中。

Deep readingGenerating