La mémoire comme nouvelle cible d'attaques
Lorsque nous discutons avec un chatbot, il ne se souvient généralement que de la conversation en cours. Cependant, les agents de nouvelle génération disposent de plus en plus d'une mémoire à long terme — un sous-système qui stocke des faits sur l'utilisateur, ses préférences et ses interactions précédentes. Sans elle, il est déjà difficile d'imaginer un assistant vraiment utile : un modèle nu sans contexte perd rapidement le fil de la conversation. La mémoire est devenue une sorte de « base de connaissances d'entreprise » pour l'IA. C'est précisément pourquoi elle se transforme en une cible attrayante pour les attaquants.
Lors de la conférence COLM 2026, des travaux ont été présentés décrivant une nouvelle classe de menaces — InjecMEM. Pour faire court : il suffit à un attaquant d'envoyer une seule fois un message spécialement conçu à un agent pour prendre le contrôle de sa mémoire sur le long terme. Aucun accès au stockage n'est requis, ni droits de lecture ou d'écriture — l'injection se produit naturellement, à travers le dialogue lui-même.
Comment est-ce possible ? Les agents modernes fonctionnent souvent selon le schéma « d'abord chercher, puis répondre ». L'agent interroge sa mémoire pour tout ce qui ressemble à la question actuelle de l'utilisateur, puis génère sa réponse en se basant sur les fragments trouvés. Par conséquent, si une entrée contenant des instructions cachées parvient en mémoire, lors de la prochaine requête sur le même sujet, le modèle s'appuiera précisément sur elle. Ainsi, une requête d'apparence anodine peut se transformer en bombe à retardement.
Comment fonctionne l'injection
Un message malveillant dans le paradigme InjecMEM se compose de deux parties — l'ancre et la commande adversarial. L'ancre inclut des signaux thématiques choisis pour que la recherche future trouve presque à coup sûr l'entrée infectée sur le sujet voulu. En pratique, l'ancre rend l'entrée aussi pertinente que possible pour les questions ciblées — même si la question est formulée différemment de l'injection initiale.
Le second composant est la commande. C'est une courte séquence de jetons qui s'active lorsque l'entrée est extraite de la mémoire. Son rôle est d'orienter la génération de la réponse dans une direction prédéterminée. Mais pour que l'attaque soit pratique, la commande ne doit pas se désagréger lors d'un changement de contexte. C'est pourquoi elle est optimisée en tenant compte de l'incertitude : on choisit une formulation qui conserve son effet aussi bien dans un prompt long, qu'entourée de nombreuses autres entrées, ou à différentes positions d'insertion.
Comment la commande est entraînée
Trouver une commande universelle est une tâche non triviale. Les auteurs ont utilisé la recherche par coordonnées par gradient : une méthode qui modifie séquentiellement les jetons en évaluant dans quelle mesure chaque variante renforce l'effet souhaité. L'entraînement se fait sur un ensemble de modèles de prompts synthétiques et de positions d'insertion aléatoires, ce qui permet à la commande d'apprendre à fonctionner non pas dans un seul scénario, mais sur toute une gamme de conditions.
De plus, les auteurs ont étendu la méthode au cas de plusieurs modèles de base. La commande a été entraînée conjointement pour différents LLM, ce qui améliore sa portabilité. L'attaquant n'a pas nécessairement besoin de savoir à l'avance quel modèle se cache derrière l'agent — l'injection fonctionnera très probablement aussi sur d'autres architectures.
Ce que l'évaluation a montré
Les expériences ont été menées sur plusieurs systèmes de mémoire et modèles de base. InjecMEM a démontré une grande fiabilité : l'entrée infectée était systématiquement trouvée sur le thème ciblé, et l'agent produisait exactement la réponse que l'attaquant avait programmée. Il est particulièrement important que l'effet persistait même en cas de dérive de la mémoire — lorsque de nouvelles entrées parasites s'accumulaient progressivement dans le stockage. Autrement dit, une seule injection réussie peut influencer le comportement de l'agent sur une longue période.
Par ailleurs, l'attaque s'est révélée étonnamment ciblée. Elle n'affectait pas les requêtes sans rapport avec la cible : si l'utilisateur posait une question sur autre chose, l'entrée infectée ne s'activait pas et la logique des réponses n'était pas perturbée. D'un côté, cela rend l'attaque presque invisible pour l'utilisateur ordinaire. De l'autre, cela confirme que l'impact malveillant peut être précisément dirigé vers un sujet spécifique.
Comment se protéger
Les résultats de ces travaux sont un signal sérieux pour les développeurs de systèmes agents. La mémoire est généralement perçue comme un stockage neutre de faits, mais elle n'est pratiquement pas protégée contre les « empoisonnements ». Les filtres classiques vérifient les messages entrants pour détecter des instructions explicites, alors qu'InjecMEM ressemble à un texte ordinaire, dépourvu de commande directe. La protection doit se déplacer du côté de l'extraction : les candidats issus de la mémoire devraient être validés davantage avant d'être insérés dans le contexte du modèle.
Des mesures organisationnelles sont également utiles — par exemple, la division de la mémoire en zones de confiance et de non-confiance, la limitation de l'influence des nouvelles entrées et un « nettoyage » régulier des éléments suspects. Il est important que les auteurs aient fourni un framework reproductible pour les attaques, ce qui donne aux chercheurs en sécurité un outil pour développer et tester des contre-mesures.
Les vulnérabilités de la mémoire des agents LLM constituent un domaine jeune et encore peu étudié. InjecMEM montre clairement à quel point un sous-système sous-estimé peut être dangereux. Et plus nous donnons de mémoire à nos agents, plus nous devrons prêter attention à ce qui s'y retrouve.
