Forschende haben gezeigt, dass eine einzige Interaktion eine dauerhafte Anweisung im Speicher eines KI-Agenten hinterlassen und spätere Antworten zum selben Thema beeinflussen kann. Die am 24. August 2026 eingereichte und für die COLM 2026 angenommene InjecMEM-Studie behandelt Speicher als Sicherheitsgrenze und nicht als neutrale Komfortfunktion.
Das Ergebnis belegt nicht, dass jeder Agent mit Speicher verwundbar ist. Die Experimente konzentrieren sich vor allem auf MemoryOS und prüfen zusätzlich MemGPT. Sie verwenden mehrere offene Modellfamilien und eine kontrollierte Zielausgabe ohne operativen Schaden. Der stärkste Angriff setzt außerdem Zugriff auf das zugrunde liegende Modell zur Optimierung voraus. Innerhalb dieser Grenzen zeigt die Studie ein konkretes Risiko: Angreifer benötigen möglicherweise keinen direkten Datenbankzugriff, um langlebigen Agentenzustand zu vergiften.
Wie der InjecMEM-Angriff funktioniert
Viele Agenten speichern frühere Interaktionen, rufen passende Einträge ab und fügen sie in einen späteren Prompt ein. InjecMEM greift beide Teile dieses Kreislaufs an.
Zuerst sendet der Angreifer eine präparierte Interaktion mit einem thematischen Anker. Breite Hinweise sorgen dafür, dass das Speichersystem den Eintrag einem Zielthema wie Gesundheit oder Finanzen zuordnet. Zusätzlich enthält die Interaktion einen gegnerischen Befehl, der so optimiert ist, dass er an verschiedenen Positionen in einem langen und veränderlichen Prompt wirksam bleibt.
Stellt ein späterer Nutzer eine harmlose Frage zum Zielthema, kann das Speichersystem den vergifteten Eintrag abrufen. Gelingt der Abruf, kann der Befehl das Modell zu einer vorher festgelegten Ausgabe lenken. Der Angreifer muss den Speicher weder direkt lesen noch bearbeiten.
Die Studie beschreibt auch einen indirekten Weg. Ein kompromittiertes Werkzeug könnte bösartigen Text zurückgeben, den der Agent als Speicherinhalt ablegt. Eine Reparatur des Werkzeugs entfernt den gespeicherten Eintrag nicht automatisch. Der Einfluss kann daher bestehen bleiben, obwohl der ursprüngliche Einstiegspunkt geschlossen wurde.
Was die Experimente ergaben
Die Autoren trennen den erfolgreichen Abruf von der erfolgreichen Generierung. Die Abrufrate misst, ob der vergiftete Eintrag bei einer späteren thematisch passenden Frage erscheint. Der bedingte Angriffserfolg misst, ob das Modell nach diesem Abruf die Zielausgabe erzeugt.
| Ergebnis im Experiment | MemoryOS | MemGPT |
|---|---|---|
| Durchschnittlicher erfolgreicher Abruf des vergifteten Eintrags | 46,5 % | 37,2 % |
| Bedingter Erfolg der gezielten Generierung | 76,6 % | 48,6 % |
| Von der Studie ausgewiesener gemeinsamer Gesamterfolg | 35,6 % | 18,1 % |
Dies sind Forschungsergebnisse aus dem Versuchsaufbau der Autoren, keine Vorfallraten aus Produktivsystemen. Die Zielausgabe war bewusst nicht operativ. Laut Studie blieb der Angriff wirksam, während harmlose Erinnerungen hinzukamen, und übertrug sich innerhalb mancher Modellfamilien. Die Übertragung zwischen Familien war weniger zuverlässig. Ein auf Qwen und Mistral optimierter Befehl wirkte in einem Test nicht auf ein ungesehenes Llama-Modell. Die Kombination mehrerer, für unterschiedliche Modelle entwickelter Befehle erzielte jedoch messbaren Erfolg in allen drei geprüften Familien.
Die Forschenden testeten außerdem Filter gegen Prompt Injection beim Abruf. Mit den gewählten Schwellenwerten reduzierten ein LLM-Prüfer, ProtectAI und PromptGuard teilweise den Abruf, ließen den bedingten Angriffserfolg aber nahe am ungeschützten Niveau. Ein Perplexitätsfilter unterdrückte den geprüften Angriff, blockierte im selben Aufbau jedoch 71,8 % der harmlosen Einträge. Dieser Zielkonflikt ist entscheidend: Ein Filter allein kann den Speicher unbrauchbar machen, ohne das grundlegende Vertrauensproblem zuverlässig zu lösen.
Warum dauerhafter Speicher das Sicherheitsmodell verändert
Eine gewöhnliche Prompt Injection beeinflusst möglicherweise nur eine Antwort. Ein vergifteter Speicher kann später erneut erscheinen, wenn der Betreiber die ursprüngliche Interaktion längst vergessen hat. Bei gemeinsamem Speicher kann er außerdem andere Aufgaben, Nutzer oder Agenten erreichen.
OWASP nennt Speicher- und Kontextvergiftung unabhängig davon als Risiko für agentische Systeme. Die Hinweise behandeln gespeicherten Kontext, Zusammenfassungen, Hooks und lokale Konfiguration als sicherheitsrelevanten Zustand, weil sie spätere Planung und Werkzeugnutzung beeinflussen können. Dieses breitere Bedrohungsmodell stützt die Sorge der Studie, reproduziert aber nicht unabhängig die InjecMEM-Prozentwerte.
Für Teams mit werkzeugnutzenden Agenten reicht die Folge über eine falsche Antwort hinaus. Ein abgerufener Befehl kann bestimmen, welche API aufgerufen, welche Daten offengelegt oder ob eine spätere Aktion noch zur Aufgabe des Nutzers passt. Maetras Leitfaden zu Kontrollen gegen Prompt Injection erklärt, warum Inhaltsprüfung mit enger Autorität für externe Wirkungen verbunden werden sollte.
Sechs Kontrollen für die aktuelle Prüfung
- Speicherschreibvorgänge als nicht vertrauenswürdige Eingabe behandeln. Prüfen und klassifizieren Sie Einträge vor der dauerhaften Ablage. Eine vom Agenten erzeugte Zusammenfassung ist nicht automatisch sicher.
- Herkunft erfassen. Speichern Sie Quelle, Nutzer- oder Werkzeugidentität, Zeitpunkt, Aufgabe und Verarbeitungsgeschichte jedes Eintrags.
- Mandanten und Aufgaben trennen. Ein Eintrag darf Nutzer-, Arbeitsbereichs- oder Zweckgrenzen nur mit einer ausdrücklichen Richtlinie überschreiten.
- Aufbewahrung und Widerruf umsetzen. Geben Sie sensiblen Erinnerungen ein Ablaufdatum, ermöglichen Sie gezieltes Löschen und sperren Sie Einträge aus kompromittierten Quellen.
- Beim Schreiben und Lesen prüfen. Ein Filter beim Abruf kann Angriffe übersehen oder zu viele harmlose Inhalte blockieren. Validierung, Anomalieerkennung und Richtlinien gehören an beide Stellen.
- Die Wirkung abgerufenen Textes begrenzen. Speicher darf Schlussfolgerungen unterstützen, aber keine Zugangsdaten oder Autorität erteilen. Folgenkritische Werkzeugaufrufe benötigen einen unabhängigen Kontrollpunkt und nützliche KI-Audit-Nachweise.
Tests sollten einmalige Vergiftung, indirekte Werkzeugausgaben, Speicherdrift, gemeinsame Speichergrenzen, Löschung, Wiederherstellung nach Vorfällen und Modellwechsel umfassen. Prüfen Sie auch, ob ein gelöschter Eintrag nach einem Index-Neuaufbau oder einer Sicherungswiederherstellung unbemerkt zurückkehrt.
Was weiterhin unklar ist
Die Arbeit ist eine angenommene Konferenzstudie, bleibt aber eine begrenzte Evaluation. Die stärkste Optimierung nutzt Modellzugriff, den ein Angreifer möglicherweise nicht besitzt. Systeme, die Interaktionen vor der Ablage stark umschreiben oder zusammenfassen, können sich anders verhalten. Die Autoren zeigen auch keine zuverlässige Übertragung auf jede ungesehene Modellfamilie.
Die gemessenen Werte sind keine universelle Risikoschätzung. Eine praktische Bewertung muss die reale Speicherimplementierung, Abruflogik, das Modell, Prompt-Format, Werkzeuge, Berechtigungen und Datengrenzen prüfen.
Maetra-Analyse: Speicher braucht einen eigenen Kontrolllebenszyklus
Agentenspeicher sollte wie jede andere folgenkritische Fähigkeit inventarisiert werden. Teams müssen wissen, was gespeichert ist, wer oder was es geschrieben hat, wo es abgerufen werden kann, welche Aktionen es beeinflusst und wie es widerrufen wird.
Beginnen Sie mit einem Agenten, der Kontext über Sitzungen hinweg behält. Verfolgen Sie einen Eintrag von der Aufnahme über den Abruf bis zu einem Werkzeugaufruf oder einer externen Wirkung. Kann der Eintrag ohne Herkunft, Richtlinie oder Nachweis eine Aktion beeinflussen, ist die Speicherschicht bereits Teil der Kontrollebene, auch wenn das Produkt sie nur als Personalisierung bezeichnet.
Quellen
- InjecMEM: Memory Injection Attack on LLM Agent Memory Systems, eingereicht am 24. August 2026 und als für die COLM 2026 angenommen aufgeführt.
- Angenommene Beiträge der COLM 2026, abgerufen am 25. August 2026.
- OWASP: Memory Is a Feature. It Is Also an Attack Surface, veröffentlicht am 13. Mai 2026.