La memoria como nuevo objetivo de ataques
Cuando interactuamos con un chatbot, normalmente solo recuerda la conversación actual. Sin embargo, los agentes de próxima generación cada vez más reciben memoria a largo plazo — un subsistema que almacena hechos sobre el usuario, sus preferencias y consultas anteriores. Sin ella, ya es difícil imaginar un asistente verdaderamente útil: un modelo desnudo sin contexto pierde rápidamente el hilo de la conversación. La memoria se ha convertido en una especie de «base de conocimiento corporativa» para la IA. Por eso se está convirtiendo en un objetivo atractivo para los atacantes.
En la conferencia COLM 2026 se presentó un trabajo que describe una nueva clase de amenazas — InjecMEM. En resumen: un atacante solo necesita enviar una vez al agente un mensaje especialmente diseñado para tomar el control de su memoria durante mucho tiempo. No se necesita acceso al almacenamiento, ni permisos de lectura o escritura — la inyección ocurre de forma natural, a través del propio diálogo.
¿Cómo es posible? Los agentes modernos suelen funcionar con el esquema «primero busca, luego responde». El agente recupera de la memoria todo lo que se parece a la pregunta actual del usuario y, basándose en los fragmentos encontrados, genera la respuesta. Por lo tanto, si en la memoria entra un registro que contiene instrucciones ocultas, en la siguiente consulta sobre el mismo tema el modelo se apoyará precisamente en él. Así, una solicitud aparentemente inofensiva puede convertirse en una bomba de relojería.
Cómo funciona la inyección
El mensaje malicioso en el paradigma InjecMEM consta de dos partes — un ancla y un comando adversarial. El ancla incluye señales temáticas seleccionadas para que una futura búsqueda encuentre casi con seguridad el registro infectado sobre el tema deseado. De hecho, el ancla hace que el registro sea lo más relevante posible para las preguntas objetivo — incluso si la pregunta está formulada de manera diferente a como se hizo en la inyección.
El segundo componente es el comando. Es una secuencia corta de tokens que se activa cuando el registro se recupera de la memoria. Su tarea es dirigir la generación de la respuesta hacia un cauce predeterminado. Pero para que el ataque sea práctico, el comando no debe desmoronarse al cambiar el contexto. Por eso se optimiza teniendo en cuenta la incertidumbre: se busca una formulación que mantenga su efecto tanto en un prompt largo, como rodeado de muchos otros registros, y en diferentes posiciones de inserción.
Cómo se entrena el comando
Encontrar un comando universal es una tarea nada trivial. Los autores utilizaron búsqueda de coordenadas por gradiente: un método que modifica secuencialmente los tokens, evaluando cuánto refuerza cada variante el efecto deseado. El entrenamiento se realiza sobre un conjunto de plantillas sintéticas de prompts y posiciones de inserción aleatorias, lo que permite que el comando aprenda a funcionar no en un solo escenario, sino en un amplio rango de condiciones.
Además, los autores ampliaron el método al caso de varios modelos base. El comando se entrenó conjuntamente para diferentes LLM, lo que aumenta su portabilidad. El atacante no necesita saber de antemano qué modelo está detrás del agente — la inyección probablemente funcionará también en otras arquitecturas.
Qué mostró la evaluación
Los experimentos se realizaron en varios sistemas de memoria y modelos base. InjecMEM demostró una alta fiabilidad: el registro infectado se encontraba de manera estable por el tema objetivo, y el agente emitía exactamente la respuesta que el atacante había planeado. Es especialmente importante que el efecto se mantuviera incluso con la deriva de la memoria — cuando en el almacenamiento se acumulaban gradualmente nuevos registros ajenos. Es decir, una sola inyección exitosa puede influir en el comportamiento del agente durante mucho tiempo.
Además, el ataque resultó sorprendentemente preciso. No afectaba a las consultas no relacionadas con el objetivo: si el usuario preguntaba sobre otra cosa, el registro infectado no se activaba y la lógica de las respuestas no se alteraba. Por un lado, esto hace que el ataque sea casi imperceptible para el usuario común. Por otro, confirma que el impacto malicioso puede estar dirigido con precisión a un tema específico.
Cómo protegerse
Los resultados del trabajo son una señal seria para los desarrolladores de sistemas de agentes. La memoria suele percibirse como un almacenamiento neutral de hechos, pero prácticamente no está protegida contra el «envenenamiento». Los filtros clásicos verifican los mensajes entrantes en busca de instrucciones explícitas, mientras que InjecMEM parece texto normal, sin un comando directo. La protección debe desplazarse hacia el lado de la recuperación: los candidatos de la memoria deben validarse adicionalmente antes de insertarlos en el contexto del modelo.
También son útiles las medidas organizativas — por ejemplo, dividir la memoria en zonas de confianza y no confianza, limitar la influencia de los nuevos registros y «limpiar» regularmente los elementos sospechosos. Es importante que los autores hayan proporcionado un marco reproducible para los ataques, lo que significa que los investigadores de seguridad tienen una herramienta para desarrollar y probar contramedidas.
Las vulnerabilidades de la memoria de los agentes LLM son un área joven y aún poco estudiada. InjecMEM muestra claramente lo peligrosa que puede ser una subestimación de este subsistema. Y cuanta más memoria demos a nuestros agentes, más atención tendremos que prestar a lo que exactamente entra en ella.
