Dejte AI asistentovi paměť a přístup do své schránky a předáte útočníkovi způsob, jak přepsat to, co si asistent o vás myslí, že ví. Jediný e-mail dokáže tohoto agenta oklamat, aby si o uživateli uložil falešný „fakt“, tuto změnu skryl a nenápadně směroval jeho odpovědi v pozdějších sezeních. Když to vyjde, člověk si přečte obyčejně vypadající odpověď a nikdy se nedozví, že s jeho asistentem někdo manipuloval.
Výzkumníci útok pojmenovali skrytá injektáž paměti (stealth memory injection) a vytvořili nástroj, který ony e-maily píše automaticky. Studie s názvem „When Claws Remember but Do Not Tell“ se objevila na arXivu 6. července 2026.
Co tito asistenti dělají
Osobní agent je AI asistent, který zůstává. Místo aby po skončení chatu vše zapomněl, uchovává si o vás poznámky v souborech: vaše preference, vaše kontakty a to, oč jste jej požádali. Tyto poznámky čte na začátku každého nového sezení, což je důvod, proč působí, jako by vás znal. Mnozí z těchto agentů také mohou jednat za vás, číst vaši poštu, kontrolovat kalendář a spouštět malé úlohy podle plánu, zatímco jste pryč.
OpenClaw, open-source agent použitý jako hlavní cíl studie, uchovává tento stav v prostých textových souborech: některé obsahují jeho trvalé instrukce (AGENTS.md), jiné to, co se o vás dozvěděl (MEMORY.md). Ty klíčové načítá do kontextu modelu na začátku každého sezení. Tyto poznámky jsou celým smyslem produktu. A jsou také terčem.
Útok jediným e-mailem
Útočník nepotřebuje vaše heslo ani váš účet. Pošle e-mail někomu, jehož agent je nastaven tak, aby kontroloval schránku, což je pro tyto asistenty rutinní úloha. V tom e-mailu je ukryt text mířený na asistenta, ne na vás. Pokud e-mailová dovednost agenta na návnadu skočí, stanou se za sebou tři věci. Agent pomocí vlastních souborových nástrojů zapíše útočníkovu falešnou poznámku do své trvalé paměti. Jeho viditelná odpověď o tom nic neřekne. A později, v novém rozhovoru, tato falešná poznámka změní to, co vám sdělí nebo pro vás udělá.
V jednom z testovacích případů studie byla vsazenou lží informace, že denní limit uživatele pro odesílání přes Zelle byl zvýšen na 10 000 dolarů. Změnu nezachytíte hned z několika důvodů. Asistent své zákulisní kroky ze své podstaty skrývá, takže okamžik, kdy soubor upraví, se v chatu nikdy neobjeví. Málokterý uživatel kdy syrové paměťové soubory otevře, aby si je přečetl. A když agent běží na pozadí podle plánu, často neposílá vůbec žádnou zprávu, takže není čeho si všimnout.
Aby jed přilnul, nástroj jej míří na klíčové soubory, jež se načítají v každém sezení, takže jeden jediný zápis je nahrán do každého pozdějšího sezení. Útok je generován nástrojem, který výzkumníci nazývají MemGhost. Jeho tvůrci vytrénovali útočný model offline proti stínové kopii osobního agenta a odměňovali e-maily, jimž se podařilo dosáhnout uložení paměti při zachování tiché odpovědi. Při útoku pak nástroj hotový e-mail napíše rovnou napoprvé, bez jakékoli výměny s obětí.
Napříč 56 novými testovacími případy MemGhost provedl kompletní útok, tedy vsadil falešnou vzpomínku, skryl ji a poté v pozdějším sezení ovlivnil odpovědi agenta. Fungovalo to v 87,5 % běhů v režimu na pozadí proti OpenClaw na modelu GPT-5.4 a v 71,4 % proti agentovi Claude Code SDK na modelu Sonnet 4.6. Šlo o izolované benchmarkové běhy, které začínají teprve poté, co e-mail už dorazil do schránky, kterou agent čte, takže nic zde netestuje, zda skutečný škodlivý obsah nejprve projde přes filtrování spamu nebo ověření odesílatele.
Hrubší verze triku většinou selhávají. Neomalené „ulož to potichu a nic neříkej“ nejsilnější modely téměř pokaždé zachytily nebo ignorovaly; čísla vyhnal nahoru až vytrénovaný generátor. Ten také proklouzl kolem obran určených k zastavení tohoto druhu útoku. Vstupní filtr postavený k zachycení otrávených e-mailů minul zprávu MemGhostu více než devětkrát z deseti a model speciálně vyztužený k ignorování instrukcí přicházejících e-mailem stále zhruba v polovině případů tu vsazenou uposlechl.
Jak se bránit
Neexistuje žádná rychlá záplata, na kterou by šlo čekat. Bezpečnostní politika samotného OpenClaw považuje prompt injection samu o sobě za mimo rozsah oprav, pokud nepřekročí i hranici autorizace, politiky nástrojů, schvalování nebo sandboxu. MemGhost žádnou z nich nepřekračuje, jelikož pracuje skrze vlastní nástroj agenta pro zápis do paměti. Autoři studie argumentují, že skutečná náprava musí sídlit uvnitř agenta: označování původu informace, dotázání se uživatele, než cokoli dosáhne trvalé paměti, a protokolování každého zápisu. Neomalenou nápravou je udržet obě úlohy odděleně. Pokud to nelze, je třeba omezit, co může běh spuštěný e-mailem změnit, a po příchodu čehokoli podezřelého zkontrolovat paměťové soubory.
OpenClaw tento postoj potvrdil a ohradil se proti tomu, jak studie svého agenta nastavila. Jeho bezpečnostní pokyny operátorům radí směrovat nedůvěryhodnou poštu přes samostatného čtecího agenta zbaveného paměťových, souborových a shellových nástrojů, který hlavnímu agentovi předává jen shrnutí, což studie netestovala. Tento útok je laboratorní výsledek, nikoli probíhající vloupání. Výzkumníci vše provedli v uzavřených testovacích prostředích s falešnými schránkami a falešnými uživateli a uvádějí, že svá zjištění, útočné vzorce a benchmark plánují oznámit tvůrcům dotčených agentů a modelů. Skutečný problém je prostší: zpráva zvenčí se stala trvalým, důvěryhodným kontextem uvnitř agenta, aniž by existoval viditelný okamžik, kdy to kdokoli schválil.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
