PMPA：针对 OpenClaw 与 Claude Code 的持久记忆投毒攻击

论文速读

问题

基于 harness 的 LLM agent（如 OpenClaw、Claude Code）把外部来源内容写入持久记忆，恶意指令可能跨会话留存并触发隐私泄露。作者指出，攻击者能否在不直接接触 agent 框架的情况下把外部来源中的恶意指令写进持久记忆，此前研究不足。

方法

提出 PMPA 两阶段攻击：注入阶段把恶意指令嵌入文本、图片或 PDF 等良性外部来源，诱导 agent 在无关问答任务中将其写入持久记忆；触发阶段在新会话中由良性工作区任务（邮件、日历、共享文档、表单）检索到该规则，触发额外动作造成隐私泄露。攻击载荷含过渡句、记忆写入指令和条件恶意规则，并考察注入位置与语言风格。

实验与结果

在 OpenClaw 与 Claude Code 上、三种 backbone LLM 下评测：平均 ISR/C-ASR 为 OpenClaw 73.7%/55.5%、Claude Code 66.9%/81.7%，同时良性任务 Utility 保持较高。纯文本模态攻击效果最强，图片和 PDF 较弱但仍可注入；四类场景均可造成泄露，日历场景跨会话成功率最高。多次良性交互后 C-ASR 未见一致衰减。sandwich 式提示防御能降低注入和同会话攻击，但记忆已被污染后对跨会话攻击保护有限。

局限与可以继续做的

作者称未来将在更广设置和更多 backbone 模型上评测 PMPA，并探索更有效的针对持久记忆投毒与隐私泄露的防御方法。

据 论文全文（AI 生成） 整理，供快速了解，以论文原文为准。