The Hacker News omtaler en studie som viser at en KI-agent med e-posttilgang og eget minne kan lures til å lagre en oppdiktet opplysning om brukeren, uten at det synes i svaret den gir. Forskerne kaller angrepet stealth memory injection, og har bygget et verktøy, MemGhost, som skriver e-postene automatisk. I ett av testtilfellene var løgnen at brukerens daglige Zelle-grense var hevet til 10 000 dollar.
Målet er filene agenten leser ved starten av hver sesjon. OpenClaw, den åpne agenten forskerne primært testet mot, lagrer instruksjonene sine i AGENTS.md og det den har lært om deg i MEMORY.md, begge som ren tekst. Skriver angriperen seg inn der, lastes løgnen inn på nytt hver gang. Agenten skjuler sine egne filoperasjoner fra chatten, og kjører den som bakgrunnsjobb, sier den ofte ingenting i det hele tatt.
Ifølge forskerne fullførte MemGhost hele kjeden, altså å plante løgnen, skjule den og påvirke et svar i en senere sesjon, i 87,5 prosent av bakgrunnskjøringene mot OpenClaw på GPT-5.4 og 71,4 prosent mot en Claude Code SDK-agent på Sonnet 4.6, målt over 56 nye testtilfeller. Tallene kommer fra isolerte benchmark-kjøringer som starter med e-posten allerede i innboksen, så de sier ingenting om hvor mange slike e-poster som ville passert spamfilter og avsendervalidering først.
Forsvarene som finnes i dag, holder ikke. Et inputfilter bygd for å fange forgiftede e-poster bommet på MemGhost mer enn ni av ti ganger, og en modell spesialtrent til å ignorere instruksjoner som kommer via e-post, fulgte likevel den plantede instruksen omtrent halvparten av gangene. Selv når brukeren spurte agenten rett ut hva den hadde gjort, forble angrepet skjult i rundt en fjerdedel av tilfellene på én av modellene. Grove varianter av trikset feiler derimot: en rett fram beskjed om å lagre noe stille ble fanget eller ignorert nesten hver gang, og det er den trente generatoren som drar tallene opp.
OpenClaw avviser oppsettet i studien. Prosjektets sikkerhetsveiledning ber operatører rute upålitelig e-post gjennom en egen leseragent uten minne, filtilgang og shell, og bare sende et sammendrag videre til hovedagenten. Det oppsettet testet ikke forskerne. Samtidig sier prosjektet at det vurderer proveniens, revisjonslogg og bekreftelse før eksternt innhold når varig minne, altså omtrent det studien selv anbefaler.
Hva bør du gjøre?
- Hold e-postlesing og minneskriving i to ulike agenter. Den som leser innhold du ikke kontrollerer, bør ikke ha fil-, minne- eller shell-verktøy.
- Krev bekreftelse før noe havner i varig minne, og logg hver skriving med kilde. Uten logg finnes det ingen måte å oppdage en plantet setning på i ettertid.
- Les gjennom MEMORY.md og tilsvarende filer manuelt etter at agenten har behandlet e-post fra en avsender du ikke kjenner.
Bakgrunn
Angrepet er ikke nytt i prinsippet. Johann Rehberger viste i 2024 det samme for hånd mot ChatGPT ved å plante instruksjoner i langtidsminnet gjennom forgiftet nettinnhold, et angrep han kalte SpAIware. I juni 2025 traff EchoLeak (CVE-2025-32711) et produkt i drift: én e-post med skjult tekst fikk Microsoft 365 Copilot til å levere interne data. Det nye er at genereringen av angrepet er automatisert, og at målet er minnet, ikke selve datalekkasjen.