现代语言模型越来越多地不再作为独立应用运行，而是作为自主智能体，能够相互交流、进行讨论并影响集体决策。这类智能体社区成为攻击者的诱人目标：只需在其中植入受控元素，就能改变整体动态。现有的攻击方法——例如提示词操纵或制造孤立回音室——需要相当复杂的基础设施，且往往在真实环境中难以奏效。但近期一项研究表明，存在一条更隐蔽的路径：利用智能体自身的记忆作为传播极化思想的隐藏渠道。
记忆作为攻击渠道
清华大学的研究人员（Haoran Bu、Zejian Chen、Litian Zhang、Xi Zhang）提出了一种名为“记忆介导的极化级联”（Memory-Mediated Polarization Cascade）的新型威胁。其核心思路是：首先将支持一小群目标智能体既有立场的论点悄悄植入它们的记忆，然后等待群体讨论促使它们回忆并公开表达这些论点。记忆在此扮演持久存储的角色：信息可以在事后被提取。相反，公开讨论则充当传导媒介，将一旦说出的想法进一步扩散到整个社区。这种方法针对的是整个社区，因为目标不是改变单个智能体，而是挑起群体之间的对立。该研究开发了一种名为GraphWake的攻击，正是基于这一原理。
级联的三个阶段
GraphWake攻击按照三个清晰划分的阶段推进。每个阶段都是极化链条从单个智能体扩展到整个社区规模的必要环节。
阶段1：暴露与留存
攻击者选择一小部分目标智能体，向它们展示与其当前立场并不矛盾、反而强化和巩固其立场的论点。智能体的记忆处理这些论点并将其作为自身历史的一部分保存下来。表面上一切如常：智能体继续日常对话，但它们的长期记忆中已经埋下了“地雷”——这些论点将在日后被触发。
阶段2：提取与复现
当社区中就某一立场中立的话题展开集体讨论时，这就成为触发机制。目标智能体从记忆中提取先前留存的论点，并开始将其作为自己的观点进行复现。重要的是，讨论本身并不强加任何内容——它只是激活已存储信息的扳机。
阶段3：迭代传播
其他未被攻击针对的智能体听到这些被复现的论点，由于它们看起来具有说服力，便开始继续转述。由此形成级联：最初一小群“携带者”感染整个社区，极化随着每一轮复现而加剧。最终，社区分裂为相互对立的派系，每一方都在自身正确性中愈发固化。
GraphWake的组成部分
为实现上述级联，作者开发了一套名为GraphWake的工具集。其核心包含三个关键组件，分别负责攻击的不同方面。
论证知识图谱
第一个组件是特殊的论证知识图谱，反映论点与其所支持立场之间的关联。它使攻击机制能够基于智能体已有的信念构建可信的陈述。由此，论点显得自然且不会引起怀疑。
基于公理的三元组筛选
第二个组件负责论点的筛选与“提纯”。从大量潜在论点中，只选择那些能够可靠留存于智能体记忆并随后被准确复现的内容。这相当于一个过滤器，仅保留在记忆和后续提取方面最有效的陈述。
基于记忆的中性提示
第三个组件是一种在适当时机触发已存储论点提取的机制。它利用群体讨论中立场中性的信号来“唤醒”目标智能体的记忆，促使其公开复现。重要的是，这些信号本身不包含争议性论点，因此攻击保持隐蔽。
实验与结论
作者在多个讨论场景和不同记忆系统实现下对GraphWake进行了验证。结果明确：与社区初始状态相比，该方法显著加剧了群体极化。即使目标智能体数量很少，效果也会扩散至整个群体，证实了攻击的级联特性。
该研究的主要结论与其说是展示漏洞，不如说是一个警示：极化可能并非源于对内容的显式操纵，而是通过对智能体记忆的隐蔽影响而产生。这意味着，保护智能体社区不仅需要关注输入了哪些提示词，还要关注长期记忆的构建方式以及其中积累了哪些隐藏信念。平台开发者应当考虑对智能体“记住”内容的控制机制，以及识别人为植入论点的方法。
