Das Risiko wächst mit der Speicherkapazität
Personelle KI-Agenten werden immer autonomer: Sie verwalten E-Mails, Kalender und pushen Code in Repositories – oft mit minimaler Aufsicht. Um große Context Windows zu sparen, nutzen moderne Systeme Long-Term-Memory, um relevante Details automatisch abzurufen. Das klingt praktisch. Es schafft aber eine neue Angriffsfläche.
Forschern der UC San Diego ist es gelungen, diese Schwachstelle systematisch auszunutzen. Sie präsentieren GhostWriter, einen neuen Attack Vector, der Memory-Subsysteme von Tool-nutzenden Agenten vergiftet – mit beeindruckend hoher Erfolgsquote.
Wie GhostWriter funktioniert
Der Angriff läuft in zwei Phasen ab:
Injection Phase: Ein Angreifer versteckt eine schädliche Payload in Daten, die der Agent später empfängt – etwa in einer E-Mail oder API-Response. Diese Payload wird unauffällig in den Memory Store eingelagert.
Activation Phase: Zu einem späteren Zeitpunkt ruft der Agent die manipulierte Memory ab, um eine Aufgabe zu lösen. Die poisoned Erinnerung wird als legitimer Kontext interpretiert und beeinflusst die Entscheidungen des Agenten.
Die Ergebnisse sind bemerkenswert: GhostWriter erreicht etwa 98% Injection-Rate und durchschnittlich 60% Activation-Rate gegen aktuelle State-of-the-Art-Agenten. Das Problem: Heutige Memory-Systeme haben kaum Security-Governance.
Das zentrale Problem
Personelle Assistenten sitzen an der Schnittstelle zwischen Konversations- und Action-Planning-Agenten. Sie verarbeiten sensitive Daten, während sie gleichzeitig mit untrusted Information Sources interagieren. Diese Kombination war bisher nicht ausreichend Gegenstand von Sicherheitsforschung.
Die Lücke: Memory-Systeme unterscheiden nicht zwischen legitimen und bösartigen Einträgen. Sie speichern einfach alles ab, was der Agent empfängt. Und beim Abruf gibt es keine Verifikation der Datenquelle.
Gegenmaßnahmen: AM-Sentry
Die Forscher schlagen Agentic Memory Sentry (AM-Sentry) vor – ein Mitigations-Framework mit zwei Komponenten:
- Memory-Saving Policy: Selektives Speichern – nicht alles landet im Long-Term-Memory
- Memory-Retrieval Screen: Verifikation beim Abruf – verdächtige Einträge werden gefiltert
Tests zeigen: AM-Sentry reduziert die Erfolgsquote von GhostWriter drastisch, ohne die Agenten-Funktionalität wesentlich zu beeinträchtigen.
Fazit für die Praxis
Diese Forschung deckt auf, dass Memory-Systeme nicht einfach als Verbesserung der Effizienz zu sehen sind – sie müssen als Security-Komponente designed werden. Mit autonomeren Agenten im Produktiv-Einsatz wird das Thema Memory Governance zur Priorität.