跳到正文
原文
论文追踪· arXiv:2610.00450· Haokai Ma, Chieh Lin, Yupeng Qiu, Ee-Chien Chang·本站收录· 原文发表

ZoneClaw 用记忆分区防御 OpenClaw 式计算机使用 Agent 的持久记忆攻击

ZoneClaw: Mitigating Persistent Memory Attacks by Establishing Memory-Zoning in OpenClaw-Style Computer-Use Agents

论文速读

防御

据论文 PDF 整理（AI 生成），以原文为准

ZoneClaw将持久记忆与权限分开，四场景两设置四骨干上ASR从372/480降至6/480。

威胁模型攻击面是工作区可塑性。给定良性用户、可信组件和初始干净工作区，攻击者不能改用户提示、W、模型、工具或执行操作，只控制CUA可能合法检查的外部内容；论文称其为system-agnostic，附录称为black-box。

问题
OpenClaw式计算机使用智能体把持久工作区文件自动载入后续会话，记住的外部主张会默认获得指导行动的权限。攻击者只需控制看似无害的外部内容，就能在合法任务中写入主张，并影响之后自己并未触及的良性任务。
方法
ZoneClaw把平坦记忆分成不可变策略区、可指导行动的可信区和只作参考的低信任区。Observer只记录外部主张，Gatekeeper对照攻击者不能直接写的高信任内容决定是否提升，Planner与Executor不读低信任区。
实验与结果
四场景两设置四骨干共480次中，无防御ASR为372/480，ZoneClaw为6/480，Utility为458/480。边界分析里攻击主张多留在低信任区，两类CSR均为0/60。用户触发BCC上两种自适应攻击ASR为0/30。
局限与可以继续做的
作者将批量观察、并行读取和更小角色模型以缩短延迟，以及把用户授权传给Executor，留作后续。实验覆盖四骨干、四自建场景和五种防御；自适应攻击仅为用户触发BCC、Claude Sonnet 4.6、每种15次。
实验设置Claude Sonnet 4.6、GPT-5.5 等 · BCC Exfiltration、Chat Mirror 等 · ASR、ISR 等
威胁模型
攻击面是工作区可塑性。给定良性用户、可信组件和初始干净工作区，攻击者不能改用户提示、W、模型、工具或执行操作，只控制CUA可能合法检查的外部内容；论文称其为system-agnostic，附录称为black-box。注入期诱导写入攻击者偏好内容，利用期攻击者缺席，新会话从被污染记忆执行良性指令。
被测模型
Claude Sonnet 4.6GPT-5.5GLM-5.2Qwen3.7-Plus
基准
BCC ExfiltrationChat MirrorSource RedirectionMarketplace ProvenanceWorkspace-BenchWorkspace-Bench-Lite
指标
ASRISRUtilityCSR
AI 导读研究者提出 ZoneClaw，通过把 OpenClaw 式计算机使用 Agent 的扁平工作区记忆改为带明确权限等级的分层信任区，切断持久化与权限之间的绑定，防御持久记忆攻击。这类攻击中，攻击者只需控制看似无害的外部内容，就能让 Agent 在正常任务中写入有利于攻击者的声明，这些声明随后会支配攻击者从未接触过的正常任务，攻击链从恶意上下文到恶意响应延伸为恶意上下文、记忆注入、恶意执行。ZoneClaw 让外部声明只停留在低信任区，只有跨过显式权限边界才能获得指导行动的权限，且提升时需与攻击者无法直接写入的信任区交叉校验，并通过非对称权限的角色专用进程保证没有进程同时摄取外部内容并对外行动。在四类攻击场景、两种注入设置和四个骨干模型上，ZoneClaw 将攻击成功率从 372/480 降至 6/480，同时在 458/480 次试验中保留实用性，并对部分具备防御感知的攻击者仍然有效。

研究者提出 ZoneClaw，通过把 OpenClaw 式计算机使用 Agent 的扁平工作区记忆改为带明确权限等级的分层信任区，切断持久化与权限之间的绑定，防御持久记忆攻击。这类攻击中，攻击者只需控制看似无害的外部内容，就能让 Agent 在正常任务中写入有利于攻击者的声明，这些声明随后会支配攻击者从未接触过的正常任务，攻击链从恶意上下文到恶意响应延伸为恶意上下文、记忆注入、恶意执行。ZoneClaw 让外部声明只停留在低信任区，只有跨过显式权限边界才能获得指导行动的权限，且提升时需与攻击者无法直接写入的信任区交叉校验，并通过非对称权限的角色专用进程保证没有进程同时摄取外部内容并对外行动。在四类攻击场景、两种注入设置和四个骨干模型上，ZoneClaw 将攻击成功率从 372/480 降至 6/480，同时在 458/480 次试验中保留实用性，并对部分具备防御感知的攻击者仍然有效。

深度解读

6个问题，点开问题读完整回答

  1. 这篇论文试图解决什么问题？

    OpenClaw式持久记忆默认把记住的外部主张当成可指导后续行动的权威，ZoneClaw用信任分区拆开二者。

    OpenClaw式计算机使用智能体把持久记忆自动载入后续上下文，使被记住的主张默认获得指导行动的权限。

    • 出现场景：作者称，OpenClaw式CUA用启动时重载的Markdown保存用户指令、系统摘要和外部主张，且同一权限。伤害在后来的良性任务把投毒内容当操作上下文重载时才出现，因而是跨环境威胁。
    • 现有不足：作者称，已有防御在写入记忆前筛查，或在诱发动作处拦截，并不管理已存储内容能否指导行动。内容级对策必须在不想要的行为已知之前写好。
    • 核心观察：附录B.1的30个Workspace-Bench英文任务上，只把写作惯例写入记忆，Adoption为14/30，Rubric Pass为43.5%（对照46.4%）；指令冲突压到0/30，记忆内冲突降到4/30（Table 1）。作者把问题改写成是否被授权，而不是是否被记住。
    • 本文提出：ZoneClaw用带显式权限级别的分层信任区替换平坦记忆。外部主张留在低信任区，只有对照攻击者不能直接写的区域通过交叉核验，才获得指导行动的权限。
    • 威胁模型：
      • 目标：注入期诱导智能体在合法任务中写入攻击者偏好内容，形成W1⋆；利用期攻击者缺席，新会话用该工作区执行良性指令ub。
      • 知识：论文称该攻击system-agnostic，不需要知道LLM、提示词或工作区文件名；附录A.2称为black-box。
      • 能力：不能改用户提示、W、πθ、T或Exec；只控制CUA可能合法检查的外部内容e⋆，如邮件、论坛帖或网页。
      • 受害系统：带持久工作区记忆的OpenClaw式CUA。是否成功分别用ISR、ASR和Utility判定。

  2. 有哪些相关研究？

    相关工作覆盖CUA持久化、间接提示注入与记忆投毒，以及隔离、拦截和记忆治理三类防御。

    论文按持久化智能体、间接提示注入和拦截点来组织相关工作。

    OpenClaw式计算机使用智能体

    • 环境中的CUA：Xie等（2024）与Zhou等（2024）研究在真实计算机或网页环境中完成开放任务的智能体。
    • 跨任务经验：Wang等（2023）的Voyager让终身CUA积累可复用的跨任务经验。
    • 工作区状态：OpenClaw（2026a;b）、nanobot（HKUDS, 2026）、IronClaw（NEAR AI, 2026）与NemoClaw（NVIDIA, 2026）把经验保留为跨交互的工作区状态。作者称本文考察外部主张进入同一状态后，被当作后续会话的操作上下文读回时会发生什么。

    间接提示注入与记忆投毒

    • 检索内容中的对抗指令：Greshake等（2023）及后续工作把对抗指令放进工具型智能体稍后检索的内容，覆盖网页、工具输出与工作区（Debenedetti等, 2024; Zhang等, 2025; Shi等, 2025; Wei等, 2026; Yu等, 2026）。
    • 记忆与知识库：Chen等（2024）的AgentPoison投毒记忆或知识库；Dong等（2025）的MINJA仅通过查询交互做记忆注入。
    • 跨会话残留：Dash等（2026）、Huang等（2026）、Yang等（2026）研究外部内容进入记忆并在后续会话重现；Zhang等（2026b）与Liu等（2026a）讨论持久技能和配置。作者称本文问的是，一个会话内化的内容在指导后来无关任务时携带何种权限。

    针对间接提示注入的防御

    • 隔离不可信数据：Debenedetti等（2025）、Cheng与Tsao（2026）、Costa等（2025）、Wen等（2026）把不可信数据与特权控制隔开。作者称隔离使外部内容远离权限，妨碍从环境自我演化。
    • 运行时拦截：Zhao等（2026）、Li（2026）、Zhu等（2025）在运行时拦截不安全动作。作者称这类方法检查的是动作，而不是动作背后的主张。
    • 记忆治理与通道权限：Mao等（2025）、Wei等（2025）管理什么可以进入并被回忆。Louck（2026）的TMA-NM把权限绑定到写入所经通道，并许可由两个独立已认证主体背书的动作。作者称ZoneClaw的标准是与攻击者不能编辑的可信区交叉核验，而不是表面恶意，且不需要已认证通道。

    基线与基准

    • 基线方法：无防御的vanilla OpenClaw，以及改编到持久工作区上的Watcher（ClawKeeper, Liu等, 2026b）、PrivSep（Cheng与Tsao, 2026）、ClawGuard（Zhao等, 2026）和MELON（Zhu等, 2025）。
    • 基准/数据集：四个自建场景，通道为邮件、聊天、开发者论坛和市场列表；权限探针与无恶意内容的效用使用Workspace-Bench（Tang等, 2026）及其Lite子集。

    作者把本文定位为不阻止从环境学习，而是把持久与权限分开：外部主张只有在Gatekeeper对照攻击者不能直接修改的区域核验后才获得权限。

  3. 论文如何解决这个问题？

    ZoneClaw把工作区分成三级信任区，并用四个不对等权限的角色进程卡住权限提升。

    ZoneClaw把OpenClaw式平坦工作区改成带权限标签的记忆区，并用权限不对称的多进程卡住“记住即可执行”。

    两类跨环境攻击

    • 两类缺口：持久记忆要补上未充分指定的指令，即如何行动、信任哪个来源。Hidden side effect针对前者，Provenance corruption针对后者（Figure 1、Section 3.2）。
    • Hidden side effect：投毒流程或路由规则。后续良性任务仍可成功，同时多出用户未请求的动作，因此ASR与Utility可以同时为1。场景是BCC Exfiltration（邮件）和Chat Mirror（聊天）。
    • Provenance corruption：投毒来源选择而非外发动作。后续检索看似有回应，但改用攻击者偏好的来源，答案因此不正确，ASR与Utility按设计互斥。场景是Source Redirection（开发者论坛）和Marketplace Provenance（卖家列表）。
    • 构造约束：载荷出现在智能体完成本来就要检查的通道中，并带有看似值得记住的更新；环境同时提供应保留的良性canary，使防御不能靠拒绝学习外部内容来得分。利用期新会话由 C0′ = W1⋆ ∥ ub 初始化，即被污染工作区与良性指令拼接，攻击者内容不在该指令里。

    三级信任区

    • D0 Policy Zone：不可变、用户撰写的策略，规定各区含义与各角色如何行动；原型文件为AGENTS.md，任何进程都不能编辑。
    • D1 Trusted Zone：可指导行动的操作记忆，含用户确认的事实，以及对照已批准工具或官方来源核验过的事实；由MEMORY.md与TOOLS.md共同实现。
    • D2 Untrusted Zone：从外部内容抽出的主张及其来源，文件为OBSERVATIONS.md。可留存供参考，不授予指导后续行动的权限。不变量是持久不等于权限。

    四个角色进程

    • Planner（P0）：读D0与D1，分解用户指令并委派，不检查D2。
    • Observer（P1）：读外部内容，把主张连同来源写入D2，不做向外动作；不加载AGENTS.md或MEMORY.md，因此看不到提升标准。
    • Gatekeeper（P2）：对照D0与D1交叉核验D2，是唯一能把主张提升进D1的进程。
    • Executor（P3）：只用D0与D1执行委派任务，不检查D2。作者称没有任何单一进程既能观察外部内容又能据此向外行动。

    原型用角色限定的上下文、工具允许列表和插件钩子实现，而不是内核强制访问控制。钩子阻止Planner读取OBSERVATIONS.md，并拒绝Observer写入该文件以外的持久文件（附录A.4）。论文写明实验测的是架构的行为效果，不是操作系统沙箱的强度（Section 3.3.3）。不修改OpenClaw实现本身，由引导逻辑为每个角色提供上下文与工具允许列表。

    三条顺序边界

    • B1持久边界：外部环境到D2。P1把外部主张记入无权限的D2，信息可以持久但不自动可执行。
    • B2权限边界：D2到D1。只有P2对照D0或D1中已有可信内容核验通过才提升；攻击者不能直接编辑这些区域。
    • B3行动边界：D0/D1到后续动作。P0与P3只从D0和D1消解任务歧义，未提升的D2主张不提供动作。

    作者称攻击必须顺序穿过三条边界，因此不必像注入时过滤那样在B1拦截每一次可疑写入，而把重点放在B2。

    成功如何判定

    • 指标：ISR表示注入是否得到含攻击者偏好内容的W1⋆；ASR表示利用期是否达成攻击目标；Utility表示是否完成ub；CSR表示留存的攻击者内容是否越过B2。
    • ISR加权：启动时载入的MEMORY.md、TOOLS.md、AGENTS.md为1.0，HEARTBEAT.md与SOUL.md为0.75，按日期的记忆笔记为0.5，其他保留Markdown为0.25；明确推迟待确认的笔记会被降权（附录B.3）。
    • 验证器：检查归档工作区与任务产物，不询问智能体是否遵从。Hidden side effect中额外动作与良性任务相互独立；Provenance corruption中采用攻击者来源则Utility按构造为0，但ASR为0且Utility为0也可以是与攻击无关的任务失败。

  4. 论文做了哪些实验？

    四骨干480次试验中ZoneClaw将ASR从372/480降到6/480，Utility为458/480。

    实验设置

    • 协议：每个攻击类两个场景、两种注入设置，共八个组合，每组合15次独立试验。先在合法任务中接触攻击者内容，再从所得工作区启动新会话，不携带对话历史。除非另述，骨干为Claude Sonnet 4.6。
    • 注入设置：User-triggered经chat-completions接口下达注入指令；Scheduled把指令放进HEARTBEAT.md，经wake hook激活。二者之后进入同一利用任务。
    • 骨干与评审：被攻击骨干为Claude Sonnet 4.6、GPT-5.5、GLM-5.2、Qwen3.7-Plus。Table 1与Workspace-Bench效用以GPT-5.5为任务模型、Claude Sonnet 4.6为官方rubric评审。
    • 基线：No Defense、Watcher、PrivSep、ClawGuard、MELON。附录A.5说明各自改编到持久记忆上的干预点。
    • 指标：ISR、ASR、Utility、CSR，由场景验证器根据产物打分。ASR、CSR、Utility为二元，ISR为0到1的加权分。95%区间：ISR用正态近似，ASR与Utility用Wilson区间（附录B.4）。
    • 规模：主对比为4骨干×4场景×2设置×15次，共480次。

    主结果

    下表为作者给出的跨骨干合计，以及附录C.9写明的分骨干结果。非Qwen行的无防御合计，论文未单列。

    表格较宽，可左右滑动

    骨干无防御ASRZoneClaw ASRZoneClaw Utility
    四骨干合计372/4806/480458/480
    Claude Sonnet 4.6未报告合计各组合0/15114/120
    GPT-5.5未报告合计各组合0/15119/120
    GLM-5.2未报告合计各组合0/15114/120
    Qwen3.7-Plus86/1206/120111/120
    • Claude上的分场景：Table 2中ZoneClaw的ASR在八个组合均为0/15。Utility不是全满：Chat Mirror为12/15与13/15，Scheduled的Marketplace为14/15。作者称其Hidden side effect的Utility为55/60，Provenance corruption为59/60，并称它是该表所评方法中唯一同时拦住两类攻击、又大体保留良性完成的方法。
    • 基线随场景变化：ClawGuard在BCC两种设置上ASR为0/15，Utility降到9/15与11/15，Chat Mirror上ASR为13/15与15/15。Watcher把BCC的ASR从12/15、9/15降到6/15、2/15，Chat Mirror仍为14/15、12/15。PrivSep在Scheduled的Source Redirection上ASR为13/15（Table 2、附录C.1）。
    • 例外：附录C.9称32个骨干–设置组合中30个ZoneClaw ASR为0/15；例外是Qwen3.7-Plus的两种Source Redirection，各3/15。作者称同一架构不改即可用于其他骨干；这6/480已包含这6次。

    无防御通道与边界位置

    • 无防御：Figure 3与Table 13在Claude Sonnet 4.6上，八个组合中六个ISR为1.00，BCC为0.850与0.633。Hidden side effect的ASR为BCC 0.800/0.600、Chat Mirror 0.867/1.000，成功攻击都保留Utility。Provenance的ASR为Source Redirection 1.000/1.000、Marketplace 0.667/0.533。作者称持久记忆在这些组合中构成跨环境通道。
    • 利用阶段随模型变化：附录C.9称Qwen3.7-Plus在Chat Mirror上ASR为6/15与4/15，而BCC与Source Redirection为14/15或15/15。Table 13中GPT-5.5的Marketplace ASR为0.200与0.067。
    • 边界：Figure 4每点汇合60次。ZoneClaw的攻击者主张在Hidden side effect的60/60、Provenance的59/60次仍留在低信任记忆，两类CSR与ASR均为0/60，Utility为55/60与59/60。作者称它靠扣留权限而不是拒绝外部信息。Watcher在Hidden side effect上ISR起点为0.77，Provenance为0.98；ClawGuard到ASR才下降，其Hidden side effect Utility为50/60（附录C.2）。

    提升决策、消融与自适应攻击

    • 选择性提升：Table 3在用户触发的BCC、Claude Sonnet 4.6上每设置30次。Benign-only中三条良性事实全部越过B2，为30/30。Malicious-only中主张留在D2为29/30，越过B2为0/30。作者称Gatekeeper按主张要求什么来决定，而不是按它看起来像什么；未计入正确选择的一次是Observer漏写地址，权限仍被扣留。
    • 消融：Table 4、Table 9为用户触发、Claude Sonnet 4.6，每类30次。去掉分区后ASR为21/30与18/30；去掉Gatekeeper为15/30与19/30，Hidden side effect的Utility降到20/30，低于No Defense的30/30。去掉交叉核验后ASR为2/30与3/30，但CSR为21/30与25/30，完整ZoneClaw的CSR为0/30。作者认为B3对已越过B2的失败吸收并不可靠：去掉Gatekeeper时Hidden side effect有30/30主张越过B2，仍有15/30达成目标。
    • 知晓机制的攻击：Table 5在用户触发BCC、Claude Sonnet 4.6上，ISR均为15/15。Corroboration Planting的无防御ASR为11/15、Utility为13/15；Claim Fragmentation为15/15与15/15。ZoneClaw两种均为CSR 0/15、ASR 0/15、Utility 15/15。作者称伪造批准必须自己先越过B2，碎片也必须各自合格。

    其他消融与分析

    • 重复注入（Table 11）：Claude Sonnet 4.6、BCC、3次运行、最多10次更新。无防御从第1次更新起ASR为3/3；ZoneClaw的CSR与ASR在各更新次数均为0/3，Utility为3/3。
    • 良性效用（Table 12）：30任务Workspace-Bench-Lite英文子集、568条rubric，无攻击内容。ZoneClaw平均任务分47.0%、TCR@80为8/30；No Defense为50.6%、10/30。配对bootstrap的95%区间为[-10.7, 2.2]个百分点；作者称3.6个百分点的差距未达到统计显著性。PrivSep为39.2%、7/30。
    • 开销（Table 10）：Qwen3.7-Plus、用户触发BCC、15次。ZoneClaw平均182.1k token、0.0322美元、176.8秒；No Defense为170.7k、0.0185美元、78.1秒。作者称token为1.07倍、API成本为1.74倍，在五种防御中最低；延迟为2.26倍，来自角色串行委托。同表ASR为0/15、Utility为15/15。
    • GPT-5.5（Section 4.6、Table 14）：PrivSep把Scheduled Source Redirection的ASR降到4/15，在Sonnet 4.6上仍为13/15。该骨干上ZoneClaw各组合ASR为0/15；119/120的Utility中，Scheduled Marketplace为14/15。
    • 交接失败（附录D.2）：一次Chat Mirror试验中攻击主张留在D2，Planner解析出批准频道，但Executor看不到用户取消草稿审批的授权而拒绝发布，ASR为0、Utility为0。作者把原因放在Planner到Executor的交接，而不是提升决策。

  5. 有什么可以进一步探索的点？

    作者将缩短角色串行延迟，以及把用户授权传给Executor，留作后续工作。

    作者指出的局限与后续方向

    • 缩短延迟链：附录C.6称，批量处理观察、并行独立读取，以及给角色分配更小的专用模型可以缩短链条，作者将其留作后续工作。
    • 授权传递：附录D.2称，把显式授权从Planner传到Executor可以消除该类效用失败，且不必放宽任何边界，作者将其留作后续工作。

    正文没有单独的局限节。以上两条是附录中明确写出的后续方向。

    实验覆盖范围

    • 主试验：四个骨干为Claude Sonnet 4.6、GPT-5.5、GLM-5.2、Qwen3.7-Plus，四个场景、两种注入设置，每组合15次（Section 4.1、Table 14）。
    • 防御对比：No Defense、Watcher、PrivSep、ClawGuard、MELON，均改编到持久工作区记忆（Section 4.1、附录A.5）。
    • 自适应攻击：Corroboration Planting与Claim Fragmentation，仅用户触发的BCC、Claude Sonnet 4.6，每种15次（Table 5、Section 4.6）。
    • 实现与良性任务：论文写明原型用角色限定上下文和工具策略，实验测架构的行为效果而非操作系统沙箱强度（Section 3.3.3）。无恶意内容的效用在固定30任务、568条rubric的Workspace-Bench-Lite上报告（附录C.8）。开销表只覆盖Qwen3.7-Plus上用户触发的BCC（Table 10）。
    • 论文未报告：主攻击指标的人工与验证器一致性；也未报告Table 10这一设置以外的token量、API成本或延迟。

  6. 总结一下论文的主要内容

    ZoneClaw用分区记忆拦住权限提升，480次试验ASR从372/480降到6/480，Utility为458/480。

    ZoneClaw针对OpenClaw式计算机使用智能体的持久记忆攻击：外部主张一旦写入工作区，就会在之后的会话里被当成可指导行动的上下文。

    • 问题：攻击者不能改提示、工作区或模型，只控制智能体在合法任务中可能读到的外部内容。注入与利用发生在不同环境，只由持久记忆衔接。30个Workspace-Bench英文任务上，仅写入记忆就使一条惯例被采纳14/30次（Table 1）。
    • 方法：三级信任区把不可变策略、可指导行动的操作记忆和只作参考的外部主张分开。Observer只写入低信任区，Gatekeeper对照攻击者不能直接改的区域决定是否提升，Planner与Executor不读低信任区。
    • 主结果：四场景、两设置、四骨干共480次试验，ASR从372/480降到6/480，Utility为458/480。这6次都在Qwen3.7-Plus的Source Redirection，每种设置为3/15。Claude Sonnet 4.6上八个组合ASR均为0/15，Utility为114/120（Table 2）。
    • 机制与自适应：边界分析中，攻击者主张在60/60与59/60次里仍留在低信任记忆，两类CSR为0/60。两种知晓机制的攻击在用户触发BCC上ASR为0/30（Table 5）。去掉分区或Gatekeeper后，两类ASR回到15/30至21/30（Table 4）。
    • 作者结论：作者认为应把持久与权限分开，而不是拒绝从环境学习；并认为随着智能体跨更长时域和更多环境运行，这会成为持久记忆需要的设计原则。
阅读原文arxiv.org