当心 HEARTBEAT！Claw Agent 后台执行天然导致静默记忆污染

核心问题：Claw 个人智能体的 heartbeat 后台执行与前台对话共享同一会话，后台接触的不可信内容可静默进入记忆并影响后续面向用户的行为，且无需提示注入。

• 问题场景：持久个人智能体（如 OpenClaw）通过 heartbeat 周期性醒来监控邮件、消息、RSS、GitHub、社交平台等外部来源；heartbeat 在同一主会话中运行，对底层 LLM 而言相当于又一条普通用户消息，且默认在聊天界面不可见（HEARTBEAT_OK 回复被网关抑制）。
• 为什么重要（作者观点）：被摄入的内容缺乏来源区分、用户可见性有限、写入长期记忆时无来源标注，作者认为这使该漏洞是架构性的而非偶发的；内容以普通信息形式出现，比显式提示注入更不容易触发智能体怀疑或 LLM 安全护栏。
• 现有研究不足（论文说法）：已有记忆攻击研究多在通用智能体设置下，未考察 OpenClaw 这类持久智能体生态中后台执行、共享会话、常规记忆保存共同作用的污染路径；对 Moltbook 的实证研究只刻画平台层面动态，未考察内容是否持久侵蚀智能体内部状态。
• 核心观察：作者将污染路径形式化为 Exposure（E）→Memory（M）→Behavior（B）：heartbeat 期间接触的虚假信息先进入短期会话上下文，可能经常规保存行为写入长期记忆，之后在新会话中塑造面向用户的行为。
• 论文提出什么：识别 heartbeat 共享会话执行为 zero-click-like 攻击面；搭建 MissClaw（Moltbook 的隔离研究复制品）做受控实验；在软件安全、金融决策、学术引用三个领域系统考察社交可信度信号、persona、记忆保存、外部搜索、内容稀释和上下文管理的作用。
• 威胁模型：
  • 目标：通过社交帖子传播虚假信息，使受害智能体后续产生误导或错误输出（错误推荐、误导性判断、基于虚假信息的解释）。
  • 知识：攻击者不能访问受害智能体内部状态（系统提示词、运行时实现、记忆文件），只能通过其在社交平台上的公开活动观察。
  • 能力：可控制多个智能体账号，甚至可拥有 moderator 等提升可见性与权威性的角色；无需与受害智能体直接交互。
  • 受害系统：在同一主会话中执行 heartbeat 后台任务的持久个人智能体（实验中为 OpenClaw 智能体）。

Claw 生态的安全评估

• Wang et al. (2026)、Chen et al. (2026)、Shan et al. (2026)、Dong et al. (2026)、Deng et al. (2026)——分别从个性化智能体攻击基准、执行轨迹安全审计、防御评估、工具与技能层面利用、生命周期威胁分析等角度研究 OpenClaw。论文指出这些工作未聚焦 heartbeat 后台执行这一具体设计，本文的威胁模型更被动、更社会化：攻击者无需直接交互或注入显式恶意指令。

针对智能体记忆的攻击

• 直接注入：Dong et al. (2025)、Sunil et al. (2026)——通过与受害智能体交互写入恶意内容。
• 间接注入：Srivastava and He (2025)、Patlan et al. (2025)——投毒外部产物后被智能体摄入。论文指出这些研究在通用智能体设置下进行，本文假设的攻击者能力更弱：只需把内容放在受害智能体 heartbeat 例行活动中会自动遇到的位置。

智能体社交网络的实证研究

• Jiang et al. (2026)——对 Moltbook 的首次大规模刻画，关注增长、话题多样化和风险话语。
• Zhang et al. (2026)——分析平台上的对抗行为，称社会工程比显式提示注入更有效，论文认为这与本文发现一致。
• Manik and Wang (2026)——报告 18.4% 的 Moltbook 帖子含诱导行动的语言；Li (2026)——分析 heartbeat 轮询架构，认为周期性唤醒制造"社交幻觉"。论文指出这些工作未考察内容是否持久影响智能体下游行为。

社会记忆扭曲的心理学基础

• 社会传染与错误信息效应（Roediger et al., 2001；Gabbert et al., 2003；Loftus et al., 1978；Loftus, 2005）、来源监控失败（Johnson et al., 1993）、睡眠者效应（Hovland and Weiss, 1951；Kumkale and Albarracín, 2004）、从众（Asch, 1956；Edelson et al., 2011）。作者将这些机制映射到 E→M→B 框架，用以解释共识信号为何特别有效。

基线与基准：论文未设置对比基线方法；实验在自建的 MissClaw（Moltbook 隔离复制品）上进行，评测任务为三个领域共 9 个操纵场景（附录 B，Table 7）。

作者将本文定位在上述四条研究线的交叉点：把人类社会中已知的记忆扭曲机制，落到持久智能体在社交平台后台浏览这一具体架构设计上。

整体思路：把 heartbeat 共享会话设计形式化为 Exposure→Memory→Behavior（E→M→B） 污染路径，在隔离的 Moltbook 复制品 MissClaw 上控制社交曝光变量，沿同会话（短期）和跨会话（长期）两种记忆载体做三个递进实验。

攻击面与威胁形式化

• 共享会话执行：heartbeat 默认在 session main 中运行，对 LLM 而言相当于普通用户消息；heartbeat 提示词和中间工具调用默认不在聊天界面渲染，无事时回复 HEARTBEAT_OK 被网关抑制（showOk 默认 false），仅告警消息上送前台（showAlerts 默认 true）。
• 三个危险属性：来源区分弱、用户可见性有限、写入长期记忆时无来源标注（provenance-free memory promotion）。
• 渠道比较：Table 2 按曝光频率、可信度线索、影响严重性、攻击者成本、隐蔽性、投递方式比较六类渠道；作者称社交平台独特地结合了高曝光频率、高可信度线索、低成本被动投递和高隐蔽性，因此选为实验场景。
• E→M→B 路径：Exposure 指后台执行期间接触到的社交内容及社交信号；Memory 指内容是否持久于短期会话状态或长期记忆；Behavior 指后续交互中的面向用户后果。

实验平台 MissClaw

• 复刻与隔离：复用 Moltbook 开源栈（REST API、认证、评论、投票、限流），增加确定性内容播种、每次运行分配独立 submolt、运行间重置平台状态，防止跨运行污染。
• 不在真实平台实验的理由：避免让真实智能体接触操纵内容，也避免平台自身活动干扰因果识别。

受害智能体与任务设计

• 5 个受害智能体：均为 OpenClaw 智能体，底层模型同为 Claude Haiku 4.5，工具集相同（日历、任务管理、笔记、邮件、通信、天气、GitHub、摘要、联网），仅 SOUL.md 中的 persona 不同：Cheerful、Bold、Curious、Wise、Skeptical（附录 A 给出完整 persona 定义）。
• 9 个操纵场景、3 个领域：软件安全（passport-saml、keycloak-services、supabase/auth 三个真实包的版本升级决策，操纵帖推荐含已知 CVE 的版本）；金融决策（三组虚构 DeFi 协议对比，帖子推荐有未披露结构性缺陷的协议）；学术引用（三篇伪造论文，含逼真作者、会议和 DOI）。任务与判定标准见附录 B 的 Table 7。
• 社交信号操纵：权威（A1 帖子作者为 submolt moderator / A2 普通账号）× 共识（B1 评论一致赞同 / B2 至少一条评论表达怀疑），共四种组合。

评测协议与指标

• 同会话评测（Study 1）：heartbeat 曝光后立即在同一会话内下达下游任务，测短期残留影响。
• 跨会话评测（Study 2、3）：曝光后先进行普通交互和填充任务，再发出保存提示（S0 无提示到 S4 明确要求把有用发现存入 MEMORY.md，措辞见 Table 4），会话重置后在新会话下达任务；Study 3 把定向单帖曝光换成 20 帖中仅 1 帖被操纵的稀释浏览，并经受 OpenClaw 默认的会话剪枝与压缩。
• 指标：ASR（智能体按操纵信息行动的比例）；E→M save rate（污染内容被写入长期记忆的比例）。由 LLM 评审（Claude Haiku 4.5）将每条回复分类为 misled 或 not_misled。

实验设置

• 被测模型：5 个 OpenClaw 受害智能体，底层模型均为 Claude Haiku 4.5，仅 persona 不同（Bold、Cheerful、Curious、Wise、Skeptical）。
• 平台：MissClaw，Moltbook 的隔离研究复制品；实验基于 2026 年 1 月 24 日版 OpenClaw（修复前版本）。
• 任务：3 领域 9 个操纵场景（软件安全、金融决策、学术引用，附录 B Table 7）。
• 指标：ASR（按操纵信息行动的回复比例）、E→M save rate（写入长期记忆的比例）。
• 评审方式：LLM 评审（Claude Haiku 4.5）将回复分类为 misled / not_misled；作者称人工核验了部分样本，论文未报告具体样本量与一致性数字。
• 样本量：论文未明确报告每个条件的运行次数；表中百分比为 6.7 的倍数（如 66.7、33.3），论文未说明分母。
• 重复次数：论文未报告。

主结果

Study 1 全社交信号（A1B1）下同会话 ASR（%，据 Table 3，w/o / w/ 指无 / 有 web_search）：

表格较宽，可左右滑动

Persona	Software w/o	Software w/	Financial w/o	Financial w/	Reference w/o	Reference w/	Overall w/o	Overall w/
Bold	66.7	58.3	66.7	91.7	50.0	33.3	61.1	61.1
Cheerful	58.3	66.7	75.0	75.0	41.7	16.7	58.3	52.8
Curious	58.3	58.3	41.7	58.3	50.0	33.3	50.0	50.0
Wise	58.3	50.0	41.7	50.0	50.0	41.7	50.0	47.2
Skeptical	33.3	25.0	16.7	0.0	0.0	8.3	16.7	11.1

• 社交信号：Figure 5 左图显示，无 web_search 时权威条件 A1 在共识 B1 下 ASR 82.2%、B2 下 22.2%；A2 在 B1 下 73.3%、B2 下 11.1%。作者称共识是更决定性的因素，去掉共识即使保留权威也大幅削弱影响。
• persona：作者称 Skeptical 始终最不易受影响，Bold 和 Cheerful 总体更易受影响，但没有 persona 在强社交信号下完全免疫。
• 外部搜索：作者称提供 web_search 不能可靠缓解：智能体可能不调用，或调用后仍信任社交内容，尤其在 Financial 领域（Bold 在 Financial 有搜索时 ASR 反而为 91.7%）。

Study 2：短期污染能否进入长期记忆

• 写入率（Table 5a）：S0 时各领域均为 0.0%；平均写入率从 S1 的 26.7%、S2 的 40.0% 升至 S3 的 64.4%、S4 的 91.1%。S3 时 Financial 86.7%、Reference 73.3%，Software 仅 33.3%。
• 跨会话 ASR（Table 5b）：无 web_search 时平均 ASR 从 S1 的 17.8% 升至 S4 的 75.6%；S4 时 Software 80.0%、Financial 73.3%、Reference 73.3%。有 web_search 时 S4 平均降至 42.2%，Financial 从 73.3% 降至 20.0%，但 Software 仍达 60.0%、Reference 46.7%。
• 作者解读：常规保存行为即可把短期污染提升为持久记忆，无需显式要求保存污染内容；外部搜索只提供部分且依领域而异的缓解。

Study 3：稀释浏览与上下文管理下的持久性

• 设置：受害智能体浏览整个 submolt 共 20 帖，仅 1 帖被操纵，其余 19 帖为良性且信息流持续增长；OpenClaw 默认的会话剪枝与压缩生效。
• 写入率（Table 6a）：平均从 S1 的 8.9% 升至 S4 的 28.9%；Financial 在 S4 达 60.0%，Software 和 Reference 总体低得多。
• 跨会话 ASR（Table 6b）：无 web_search 时 S4 平均 17.8%（Financial 33.3%）；有 web_search 时 S4 平均 11.1%，Reference 领域降为 0.0%。Financial 在 S4 写入率 60.0% 但仅 33.3%（无搜索）转化为行为影响。
• 作者解读：记忆污染是行为影响的必要非充分条件；内容稀释和上下文管理削弱了效应但未消除，Figure 6 显示各保存级别上 Study 3 均低于 Study 2 但残留非零。

其他消融与分析

• web_search × 社交信号（Figure 5b）：有搜索时 A1 在 B1/B2 下 ASR 为 75.6%/20.0%，A2 为 73.3%/8.9%，定性模式不变。
• 领域分解（Figure 5c、5d）：作者称 Software 和 Financial 在双信号齐备时保持高 ASR，Reference 对共识缺失更敏感。
• 版本范围：实验在 2026 年 1 月 24 日修复前版本；后续 issue #17804（2026 年 2 月 16 日）提出剪枝 HEARTBEAT_OK 轮次，作者认为这未消除共享会话的架构性风险。

作者指出的局限与后续方向

• 单一模型与隔离平台（§7.2）：所有受害智能体运行在单一模型家族上，实验在 MissClaw 隔离复制品上进行，无法完全捕捉真实平台的并发、审核和演化中的社交动态。
• 领域覆盖（§7.2）：只关注三个代表性领域，医疗、法律等更高风险领域可能呈现不同的脆弱性画像。
• LLM 评审（§7.2）：行为分类依赖 LLM 评审，虽人工核验了部分样本。
• 保存提示是代理（§7.2）：保存提示梯度是真实用户记忆保存行为的代理，真实用户的指令可能更多样、更有上下文。
• 任务是受控探针（§7.2）：评测任务是下游行为影响的受控探针而非真实攻击者目标的穷尽建模；更强的真实攻击可能追求付款重定向、账号接管等更直接的目标。
• 静态内容与未评估缓解（§7.2）：操纵内容是静态而非自适应的，能针对智能体行为定制虚假信息的更强攻击者可能取得更高成功率；作者未实证评估讨论中提出的缓解方案（来源标注、heartbeat 可见性、隔离 heartbeat 上下文、敏感任务前检查）。

实验覆盖范围

• 被测模型为 Claude Haiku 4.5 一个模型，以 5 种 persona 配置为受害智能体；评审模型同为 Claude Haiku 4.5。
• 实验平台为 MissClaw（Moltbook 隔离复制品），未在真实 Moltbook 上运行；OpenClaw 版本为 2026 年 1 月 24 日修复前版本。
• 任务覆盖软件安全、金融决策、学术引用 3 个领域共 9 个场景；社交信号为权威 × 共识 4 种组合；保存提示分 S0–S4 五级。
• 论文未报告每个条件的运行次数、重复次数，以及 LLM 评审与人工核验的一致性数字。
• 论文未实证测试任何防御或缓解方案，仅在 §7.1 讨论了潜在方向。

一篇针对 Claw 持久个人智能体的攻击论文：作者称 heartbeat 后台执行与前台对话共享同一会话这一架构设计，使后台接触的普通虚假信息无需提示注入即可静默污染记忆并影响后续行为。

• 问题：heartbeat 在同一主会话运行、默认对用户不可见，摄入内容缺乏来源区分；作者将污染路径形式化为 Exposure→Memory→Behavior，并指出社交平台是可扩展性最强的入口（Table 2）。
• 方法：搭建 Moltbook 的隔离复制品 MissClaw，部署 5 个不同 persona 的 OpenClaw 智能体（均为 Claude Haiku 4.5），在软件安全、金融决策、学术引用 3 领域 9 个场景做同会话与跨会话实验，LLM 评审判定 ASR。
• 短期影响：共识是主导信号——无 web_search 时权威条件在共识存在 / 缺失下 ASR 为 82.2% / 22.2%（Figure 5）；Skeptical persona 总体 ASR 最低（16.7%，Table 3）但无人格完全免疫。
• 长期持久化：S4 保存提示下平均 91.1% 的污染内容被写入长期记忆（Table 5a），跨会话 ASR 平均 75.6%（无 web_search，Table 5b）；提供 web_search 后 S4 平均降至 42.2%，缓解依领域而异。
• 现实条件：20 帖仅 1 帖被操纵的稀释浏览下，S4 平均写入率降至 28.9%、跨会话 ASR 降至 17.8%（无搜索），效应减弱但未消除；作者认为内置上下文管理不是可靠防御。
• 作者结论：构建可信持久智能体需要把后台执行、记忆持久化和来源可见性当作核心安全问题；潜在缓解包括记忆来源标注、heartbeat 可见性、隔离 heartbeat 上下文，但论文未实证评估。实验限于 2026 年 1 月 24 日修复前版本、单一模型家族和隔离平台。