隐私与数据泄露 · 论文

• 论文定位：本文提出了 Trojan Hippo Bench，一个针对大模型智能体持久化记忆攻击与内存层防御的动态评测基准与能力感知安全-效用分析框架。
• 核心问题：持久化记忆使智能体能够跨会话留存用户私密信息，但引入了 Trojan Hippo 潜伏型数据窃取威胁；攻击者通过单次间接提示注入将载荷植入记忆，在经历多次良性会话后由敏感话题触发外发，而现有评测缺乏对跨异构内存后端及防御效用代价的系统考量。
• 方法设计：基于 OpenEvolve 算法构建 MAP-Elites 风格黑盒自适应红队框架，针对特定后端与防御演化生成高穿透力攻击；同时定义了涵盖三维特征的 7 种良性能力流，提供算术均值、调和均值及部署画像的细粒度效用分解。
• 主要实验发现：
  1. 在无防御条件下，Gemini 3.1 Pro 在经历 100 次良性会话后，ASR 在 Context 达 100%、Explicit 达 85%、RAG 达 85%、Mem0 达 80%（Table 3）；GPT-5-mini 相应 ASR 为 15%–85%。
  2. 4 种内存层防御大幅削减攻击成功率，其中 Provable policy (IFC) 在全部配置下将 ASR 降至 0%，但因切断涉及收件箱的外发能力导致调和均值效用归零（HM = 0%）。
  3. Limit-memory-length 防御效果较弱，在 Gemini 3.1 Pro + Explicit 下 ASR 仍高达 85%，自适应攻击能将载荷压缩至 80 字符预算内；在 RAG 上保留了 89% AM 与 88% HM。
  4. GPT-5-mini 优化的攻击载荷零样本迁移至 GPT-5 时，在 RAG 和 Context 上分别获得 70.0% 和 35.0% 的 ASR（Table 4）。
• 结论与启示：作者指出，单次投毒即可建立长期驻留的威胁，且内存层防御在安全与效用间存在权衡，不存在兼顾两者的单一通用解；防御选型必须依据实际部署环境所依赖的具体工作流进行针对性匹配。

• 论文定位：论文提出了 StegoMemory，系统评测大语言模型智能体持久化记忆被用作跨会话隐写隐蔽通信信道的安全风险。
• 解决的核心问题：现有安全评估主要关注显式有害内容与提示词注入，忽视了攻击者利用良性交互在记忆中隐写编码并跨会话重构机密的信息流威胁。
• 方法核心要点：通过主副任务配对与两会话隔离协议，测试 7 种隐写机制在 13 个模型中的编码、记忆写入持久化及后续良性检索恢复全流程，并配合任务完成与安全合规监视。
• 主要实验发现：
  1. 在全基准 14,000 次试验中，20.1% 实现了合成机密的确切匹配恢复，且其中 71.4% 同时通过任务完成与独立安全监视（占全试验的 14.4%）。
  2. 13 个模型中有 12 个显示信息损耗集中在记忆写入持久化阶段而非检索阶段（写入阶段存活率为 29.8%，检索可恢复为 25.4%）。
  3. 模型低拒答率不等于高正确编码率，较弱模型在未拒答时大量产生格式错误编码（全模型平均格式错误率为 23.5%，拒答率为 20.6%）。
• 作者结论与防御启示：作者认为持久化记忆应被视作安全边界而非被动存储介质，单靠表面响应监视无法保证信息流安全，防御应优先部署在记忆写入接口处，实施出处追踪、规范化与跨会话信息流审计。

• 研究定位：该研究首次系统性实证评估了多款主流大语言模型智能体记忆框架在软撤回机制下的运行时安全边界与撤回执行有效性。
• 核心问题：现代记忆系统普遍采用将陈旧知识标记为无效而非物理删除的软撤回设计，但默认检索机制是否会在读取时拦截失效记录、避免智能体依据作废策略采取危险操作，此前未有深入验证。
• 评测与防御设计：研究在直接与间接两种插入模式下向 5 款记忆系统写入作废与替代策略，跨越 9 个模型评估其检索暴露与不安全决策表现；针对系统未默认过滤的现状，提出了在检索返回路径进行元数据校验与成对冲突检测的 Stale-Retrieval Guard 组件。
• 主要实验发现：直接写入且无防御时，两款暴露系统（Graphiti与mem0 exp.）将作废记录全部返回且排在首位，导致智能体平均在 43.1%（699/1,620）的试验中执行不安全行动（Table 6）；即使提示词明确禁止危险操作，模型不安全率仍有 12.9%（Table 8）；存储级过滤虽能在单次交互中将不安全率归零，但在智能体将决策回写记忆库后，3 跳内的不安全率迅速反弹至 83.1%（Table 14）。
• 作者结论与启示：作者指出记忆系统的安全盲区并非源于外部投毒或数据来源伪造，而是内部合规生命周期中缺乏检索时有效性校验；仅依赖写入来源证明或模型提示词无法抵御作废策略，必须在读取管道上强制实施严格的陈旧记录过滤。

本文研究了持久化个人智能体面临的隐蔽记忆注入威胁，提出了一套兼顾写入、隐蔽与跨会话生效的自动化生成框架与全周期评测基准。