PipePoison mostra ataque de envenenamento de memória de longo prazo em agentes de LLM que sobrevive a oito defesas
Pesquisadores apresentam o PipePoison, um ataque que otimiza de ponta a ponta o envenenamento indireto da memória de longo prazo de agentes de LLM, tratando as etapas de escrita, recuperação e uso da memória como um único problema acoplado em vez de otimizá-las isoladamente. O ataque aumenta a taxa de utilização bem-sucedida do conteúdo envenenado em 19,1 pontos percentuais frente a abordagens anteriores, mantendo eficácia mesmo contra oito defesas representativas e em configurações de vítima nunca vistas antes.
Memória de longo prazo permite que conteúdo externo não confiável — documentos recuperados, resultados de ferramentas, interações passadas — se torne uma influência persistente sobre as decisões futuras de um agente de LLM. Isso cria a ameaça de envenenamento indireto de memória: um atacante não precisa comprometer o modelo diretamente, basta conseguir que um conteúdo malicioso seja escrito na memória do agente para que ele afete decisões muito depois do momento da injeção original.
Um ataque bem-sucedido precisa sobreviver a um pipeline de múltiplos estágios — escrita na memória, recuperação e utilização — e os ataques anteriores otimizavam cada estágio isoladamente, ignorando que esses estágios impõem exigências diferentes e às vezes conflitantes sobre o mesmo conteúdo envenenado, e que cada estágio opera sobre a saída já transformada do estágio anterior. Otimizar um estágio isoladamente pode prejudicar o desempenho de outro, e transformações upstream podem apagar melhorias pensadas para estágios posteriores.
O PipePoison trata o envenenamento de memória como um problema de otimização de ponta a ponta: coleta feedback detalhado de cada estágio a partir de sistemas-sombra locais, usa funções de perda encadeadas para identificar e otimizar o estágio que está gargalando o sucesso de ponta a ponta, e aplica pesos de estágio e configuração calibrados por estabilidade para melhorar a transferibilidade do ataque entre diferentes sistemas. Em três frameworks de agente e quatro mecanismos de memória diferentes, o método melhora a taxa de utilização do conteúdo envenenado em 19,1 pontos percentuais sobre a baseline anterior; mesmo em configurações de vítima totalmente não vistas, supera a melhor baseline em 16 pontos percentuais, e continua eficaz contra oito defesas representativas testadas.
A relevância prática é que sistemas de agentes com memória persistente (assistentes que lembram preferências, agentes corporativos que acumulam contexto de projetos ao longo de semanas) representam uma superfície de ataque com efeito retardado e difícil de auditar: o dado malicioso pode ter sido escrito há muito tempo, por uma fonte aparentemente inofensiva, e só se manifestar quando recuperado em um contexto específico. A robustez do ataque contra oito defesas conhecidas sugere que as mitigações atuais (higienização de conteúdo recuperado, detecção de anomalias na memória) ainda não fecham essa classe de vulnerabilidade de forma confiável.