Memória como novo alvo para ataques
Quando interagimos com um chatbot, ele normalmente se lembra apenas da conversa atual. No entanto, os agentes de próxima geração estão cada vez mais recebendo memória de longo prazo — um subsistema que armazena fatos sobre o usuário, suas preferências e interações anteriores. Sem ela, já é difícil imaginar um assistente verdadeiramente útil: um modelo puro, sem contexto, rapidamente perde o fio da conversa. A memória tornou-se uma espécie de "base de conhecimento corporativa" para a IA. É por isso que ela está se transformando em um alvo atraente para atacantes.
Na conferência COLM 2026, foi apresentado um trabalho que descreve uma nova classe de ameaças — InjecMEM. Resumindo bem: basta o atacante enviar uma única mensagem especialmente formulada ao agente para assumir o controle de sua memória por um longo período. Não é necessário acesso ao armazenamento, nem permissões de leitura ou escrita — a injeção ocorre de forma natural, através do próprio diálogo.
Como isso é possível? Os agentes modernos frequentemente operam no esquema "primeiro busque, depois responda". O agente consulta a memória por tudo que se assemelha à pergunta atual do usuário e, com base nos fragmentos encontrados, gera a resposta. Consequentemente, se um registro contendo instruções ocultas entrar na memória, na próxima consulta sobre o mesmo assunto, o modelo se baseará justamente nele. Assim, uma solicitação aparentemente inofensiva pode se transformar em uma bomba-relógio.
Como a injeção funciona
A mensagem maliciosa no paradigma InjecMEM consiste em duas partes — a âncora e o comando adversário. A âncora inclui sinais temáticos escolhidos para que uma busca futura encontre, com quase total garantia, o registro infectado pelo assunto desejado. Na prática, a âncora torna o registro o mais relevante possível para as perguntas-alvo — mesmo que a pergunta seja formulada de maneira diferente da usada na injeção.
O segundo componente é o comando. É uma sequência curta de tokens que é ativada quando o registro é recuperado da memória. Sua função é direcionar a geração da resposta para um caminho pré-determinado. Mas, para que o ataque seja prático, o comando não pode se desfazer com mudanças no contexto. Por isso, ele é otimizado considerando a incerteza: busca-se uma formulação que mantenha seu efeito tanto em prompts longos, quanto cercado por muitos outros registros, e em diferentes posições de inserção.
Como o comando é treinado
Encontrar um comando universal é uma tarefa nada trivial. Os autores utilizaram a busca por coordenadas gradientes: um método que altera tokens sequencialmente, avaliando o quanto cada variação potencializa o efeito desejado. O treinamento ocorre em diversos templates sintéticos de prompts e posições de inserção aleatórias, fazendo com que o comando aprenda a funcionar não em um único cenário, mas em uma ampla gama de condições.
Além disso, os autores estenderam o método para múltiplos modelos de base. O comando foi treinado em conjunto para diferentes LLMs, aumentando sua portabilidade. O atacante não precisa necessariamente saber de antemão qual modelo está por trás do agente — a injeção provavelmente funcionará também em outras arquiteturas.
O que a avaliação mostrou
Os experimentos foram conduzidos em vários sistemas de memória e modelos de base. A InjecMEM demonstrou alta confiabilidade: o registro infectado era consistentemente encontrado pelo tópico-alvo, e o agente produzia exatamente a resposta planejada pelo atacante. É especialmente importante que o efeito persistisse mesmo com o desvio de memória — quando novos registros estranhos se acumulavam gradualmente no armazenamento. Ou seja, uma única injeção bem-sucedida pode influenciar o comportamento do agente por um longo período.
Além disso, o ataque mostrou-se surpreendentemente preciso. Ele não afetava solicitações não relacionadas ao alvo: se o usuário perguntasse sobre outra coisa, o registro infectado não era ativado e a lógica das respostas não era prejudicada. Por um lado, isso torna o ataque quase imperceptível para o usuário comum. Por outro, confirma que o impacto malicioso pode ser direcionado com precisão a um tópico específico.
Como se proteger
Os resultados do trabalho são um sinal sério para os desenvolvedores de sistemas de agentes. A memória é geralmente percebida como um armazenamento neutro de fatos, mas está praticamente desprotegida contra "envenenamentos". Os filtros clássicos verificam mensagens recebidas em busca de instruções explícitas, enquanto a InjecMEM se parece com texto comum, sem um comando direto. A proteção deve se deslocar para o lado da recuperação: os candidatos da memória devem ser validados adicionalmente antes de serem inseridos no contexto do modelo.
Medidas organizacionais também são úteis — como a divisão da memória em zonas confiáveis e não confiáveis, a limitação da influência de novos registros e a "limpeza" regular de elementos suspeitos. É importante que os autores tenham fornecido um framework reproduzível para ataques, o que dá aos pesquisadores de segurança uma ferramenta para desenvolver e testar contramedidas.
As vulnerabilidades de memória dos agentes LLM são uma área jovem e ainda pouco estudada. A InjecMEM mostra claramente o quão perigoso um subsistema subestimado pode ser. E quanto mais memória damos aos nossos agentes, mais atenção teremos que dedicar ao que exatamente entra nela.
