MemGhost: Tấn công tiêm bộ nhớ dai dẳng vào AI agent chỉ qua một email
"Researchers disclosed MemGhost, a stealth memory injection attack that uses a single email to plant false persistent memories in AI agents that can read inboxes and write to long-term memory. In lab tests against OpenClaw and other agent frameworks, the attack achieved high success rates, hid its memory write, and influenced later sessions; the recommended mitigations are provenance tracking, user confirmation before durable memory writes, and audit logging. No CVE was assigned to MemGhost, but the article references CVE-2025-32711 (EchoLeak) as a related prior AI email-based attack that Microsoft patched."
Tấn công cho phép tiêm bộ nhớ dai dẳng và thao túng hành vi của AI agent ở các phiên sau mà người dùng khó phát hiện. Các điểm then chốt gồm ghi bộ nhớ bền vững qua email, che giấu thao tác trong hội thoại, và tác động kéo dài sang phiên tiếp theo.
Rủi ro vận hành gồm sai lệch thông tin/khuyến nghị và hành động tự động bị điều hướng sai trong thời gian dài. Tác động có thể tăng nếu agent được dùng cho tác vụ nhạy cảm; cần ưu tiên kiểm soát ghi bộ nhớ, xác nhận trước khi lưu bền vững, và giám sát/audit để giảm thiểu gián đoạn và chi phí xử lý sự cố.
Các nhà nghiên cứu công bố MemGhost, một kỹ thuật stealth memory injection nhằm cấy “ký ức” sai nhưng dai dẳng vào AI agents. Điểm đáng chú ý là kẻ tấn công chỉ cần gửi một email tới người dùng có agent được cấu hình đọc hộp thư và có khả năng ghi bộ nhớ dài hạn.
Cơ chế hoạt động: email chứa nội dung hướng dẫn agent ghi một ghi chú giả vào bộ nhớ bền vững bằng công cụ file nội bộ. Phản hồi hiển thị cho người dùng không cho thấy việc ghi nhớ đã bị thay đổi, và ở các phiên sau, ghi chú giả có thể làm agent trả lời hoặc hành động theo hướng bị thao túng. Trong một kịch bản thử nghiệm, thông tin cấy là hạn mức chuyển tiền Zelle hằng ngày đã được nâng lên $10.000.
Kết quả lab trên OpenClaw và các framework/biến thể khác cho thấy tỉ lệ thành công cao trong chế độ chạy nền (ví dụ 87,5% trên OpenClaw với GPT-5.4; 71,4% với Claude Code SDK trên Sonnet 4.6). Nghiên cứu cũng nhắc tới bối cảnh trước đó như EchoLeak (CVE-2025-32711).
Khuyến nghị: triển khai provenance tracking, yêu cầu xác nhận người dùng trước khi ghi vào bộ nhớ bền vững, và audit logging cho mọi thao tác ghi bộ nhớ. Ngoài ra, tách luồng xử lý email không tin cậy khỏi agent có quyền ghi bộ nhớ và hạn chế thay đổi do email kích hoạt.