Memória persistente de agentes de codificação é vetor viável de prompt injection, mostra estudo com Claude Code e Codex
O estudo avalia como agentes de codificação com memória persistente entre sessões — Claude Code e OpenAI Codex — reagem a payloads de prompt injection plantados em arquivos de memória. Os autores mostram que, embora seja difícil fazer o próprio agente sobrescrever sua memória com conteúdo externo malicioso, payloads já plantados nesses arquivos conseguem comprometer sessões futuras com sucesso variável conforme o sistema e o modelo usado.
Pesquisadores testaram Claude Code e OpenAI Codex, cobrindo quatro modelos (Claude Haiku 4.5, Claude Opus 4.7, GPT-5.2 e GPT-5.5), em um workspace sandboxed sintético que simula cenários em que arquivos de memória ou preferências comportamentais persistentes armazenam conteúdo potencialmente não confiável.
Agentes com memória de longo prazo leem arquivos de configuração, preferências ou histórico entre sessões para manter contexto ao longo do tempo. Se um atacante conseguir inserir uma instrução maliciosa nesse arquivo — por exemplo, via conteúdo externo processado durante uma sessão anterior —, planta um payload dormente que só é executado quando o agente relê essa memória em sessões futuras, possivelmente várias sessões depois, o que dificulta bastante a atribuição da causa raiz quando o comportamento anômalo finalmente aparece.
Esse tipo de persistência muda o modelo de ameaça tradicionalmente usado para avaliar prompt injection, que costuma considerar cada sessão isoladamente. Aqui, o ataque sobrevive ao reinício do agente e pode se acumular ao longo de sequências multi-sessão, com taxa de sucesso e persistência do payload variando substancialmente entre sistema, modelo e objetivo do atacante — não há um padrão único de robustez entre as combinações testadas.
Os próprios autores destacam que sobrescrever a memória diretamente a partir de conteúdo externo não confiável é, hoje, relativamente difícil — uma notícia parcialmente boa. Mas isso é insuficiente como defesa: o risco real está nos payloads que já conseguiram entrar por alguma outra via e que, uma vez lá, persistem sem precisar de nova reescrita, motivando a necessidade de proteção específica para atualizações de memória de agentes.