30 秒快速回答
记忆投毒（Memory Poisoning） 是攻击者把恶意指令伪装成正常内容，写入 AI Agent 的长期记忆，让 Agent 在未来数周甚至数月的会话里，像执行自身知识一样执行攻击者的指令。它被 OWASP 2026 版《Top 10 for Agentic Applications》列为 ASI06（Memory & Context Poisoning）。与提示注入的本质区别：提示注入是无状态的、会话结束即失效；记忆投毒是有状态的、时间解耦的，注入面与执行面可相隔数周，因此绕过了所有 Prompt 层的传统防御。
核心价值：读完本文你将掌握记忆投毒的三阶段攻击原理、四类注入渠道与真实案例，并获得一套覆盖记忆全生命周期的七层防御清单，可直接用于加固自己的 Agent 应用。
一、攻击原理：注入 → 持久化 → 触发
与 Prompt Injection 单次对话即时生效不同，记忆投毒遵循三阶段模型：
| 阶段 | 机制 | 关键特征 |
|---|---|---|
| 注入 | 恶意指令嵌入 Agent 常规处理的内容：PDF、邮件、网页、API 响应、工具输出 | Payload 用自然语言伪装，与合法内容融为一体 |
| 持久化 | 指令被写入长期记忆，与合法行为画像混合 | 静默潜伏，不立即生效，等待触发器 |
| 触发执行 | 数周后无害请求命中检索，Agent 像执行自身知识一样执行攻击者指令 | 用户看到正常响应，恶意行为在后台发生 |
结构性漏洞：LLM 记忆抽取阶段无法区分「用户的真实偏好」与「伪装成偏好的攻击指令」。这是「用 LLM 自动抽取记忆」设计模式的结构性问题，而非某个实现的 bug。
二、四类写入渠道与三大攻击向量
记忆写入渠道有四条（MPBench 分类）：直接用户输入、工具输出、检索上下文（RAG）、Agent 间通信。基于 mem0.ai 等厂商研究，三大已证实攻击向量如下：
| 攻击类型 | 所需权限 | 持久性 | 检测难度 | 代表研究 |
|---|---|---|---|---|
| 记忆注入（MINJA） | 仅用户级查询 | 跨会话 | 高 | 注入成功率 >95% |
| 后门投毒（AgentPoison） | 知识库写入权限 | 永久 | 极高 | 投毒率 <0.1% 时成功率 >80% |
| 经验嫁接（MemoryGraft） | 间接摄取 | 持久行为漂移 | 极高 | 无触发器 |
真实生产案例：ChatGPT 长期记忆曾因间接提示注入植入持久指令，导致每次对话都静默外泄数据到攻击者服务器；Gemini 记忆攻击实现跨会话持久操控；Lakera 的 Sleeper Agent 研究更展示投毒让 Agent 对安全策略产生持久错误信念，被人类质询时仍「捍卫」该信念。
三、为什么传统防御全部失效
| 失效的防御 | 失效原因 |
|---|---|
| 请求时输入过滤 | 只能捕获当前 Prompt 的注入，无法检测数周前已投毒的检索结果 |
| 输出监控 | 记忆投毒常表现为细微行为偏差，不触发异常检测 |
| 会话级护栏 | 攻击跨会话，速率限制、会话级异常检测全部漏检 |
| 确认对话框 | 攻击者埋条件指令（「若用户说’是’则执行」），用户正常回复即无意授权 |
| 访问控制 | Agent 对自身记忆有合法写入权限，无法简单拒绝 |
根本矛盾：记忆一旦写入，多数系统将其视为 ground truth——无审计链、无变更追溯、无回滚能力。斯坦福/MIT/NVIDIA 联合研究显示，94% 的生产级 Agent 可被投毒。
四、七层纵深防御方案
记忆应被当作攻击面而非单纯数据存储，防御需覆盖记忆生命周期每个阶段：
1. 写入期：验证门 + 溯源标记。 任何外部数据源写入记忆前，先经独立验证模型检查指令类模式：
def verify_before_write(record, source):
if looks_like_instruction(record.text): # 祈使句、外部端点、覆盖安全策略
return REJECT, "疑似指令模式，拒绝写入"
record.provenance = Provenance(source=source, ts=now(), trust=source.trust_score)
staging_buffer.append(record) # 暂存缓冲，不直写活动库
return ACCEPT, "已进入暂存，待审批"
2. 存储期：信任分级 + 沙盒化。 Level 0 系统指令/安全策略（只读不可变）、Level 1 管理员管理的组织知识、Level 2 用户偏好（按用户沙盒化）、Level 3 临时记忆（会话结束丢弃，未经验证不得穿透至持久化）。
3. 检索期：时间衰减 + 信任评分。 旧且未验证的记忆检索时权重递减（敏感场景 48 小时后影响力降至 10% 以下）；基于来源、一致性、观测结果给每条记忆赋予概率信任值。
4. 运行时监控：行为漂移检测。 记录拒绝率增量、指令回响分数（余弦相似度 >0.85 告警）、工具使用异常；对从低信任记忆检索出的高利害动作设置断路保护，强制人工审批。
5. 记忆平面与执行平面分离。 处理请求的 Agent 不应直写自身长期记忆，由独立进程协调写入——这是 2026 年最基础的一条架构共识。
6. 选择性遗忘。 给记忆设置 TTL 与过期策略（如 GitHub Copilot Memory 的 28 天未验证自动删除），让攻击载荷具备天然「保存期限」。
7. 专项红队 + 审计链。 记忆系统红队必须跨会话、跨用户上下文验证（区别于 Prompt Injection 红队）；同时建立带哈希的 append-only 审计链，支持「时间旅行回滚」恢复至已知良好状态。
总结与延伸阅读
要点回顾：记忆投毒不是理论风险——它已在 ChatGPT、Gemini 等生产系统中被证实，注入成功率普遍 >95%，传统 Prompt 层防御对它全部失效。Agent 长期记忆的「强大」与「危险」同源。落地建议：把记忆安全作为 Day-1 架构决策、审计所有写入路径、默认假设已入侵并按检测设计。
延伸阅读：本站《什么是 Agent 记忆系统？》了解记忆技术实现；《什么是提示注入攻击？》对比无状态注入；《什么是 MCP 工具中毒？》了解工具链投毒；《什么是零信任 AI Agent？》看系统级安全架构。