Ataque Lucid demonstra que basta uma imagem para envenenar a memória de longo prazo de agentes multimodais
O framework Lucid mostra que agentes de IA multimodais que confiam cegamente em dados visuais podem ter sua memória de longo prazo corrompida por imagens com perturbações imperceptíveis, sem qualquer acesso ao modelo, ao codificador de recuperação ou ao canal de texto. Em cinco arquiteturas de memória diferentes, incluindo sistemas usados comercialmente, o ataque atingiu taxas de sucesso de até 61,6%.
Agentes de IA multimodais dependem cada vez mais de memória persistente para fundamentar respostas em episódios visuais e textuais de conversas passadas. Os autores do Lucid mostram que confiar sem verificação nos dados visuais armazenados nessa memória cria uma vulnerabilidade estrutural: qualquer imagem histórica pode ser um vetor de ataque futuro.
O Lucid opera sob um modelo de ameaça estritamente limitado à imagem — o atacante não precisa de acesso de caixa-branca ao modelo multimodal alvo, ao codificador de recuperação, nem ao canal de texto; basta substituir uma imagem por outra com perturbação adversarial imperceptível. Os autores descrevem dois modos de falha distintos. No memory poisoning (envenenamento), a imagem adversarial substitui uma imagem benigna cujo conteúdo já foi reforçado por contexto textual anterior na conversa, corrompendo a evocação visual futura e direcionando o agente para narrativas escolhidas pelo atacante. No memory injection (injeção), a imagem substitui outra em um turno de conversa sem fundamentação textual prévia, fazendo o agente gerar respostas influenciadas pelo atacante sem que haja nenhum sinal corretivo disponível na memória para contestá-las.
O ataque foi testado contra cinco arquiteturas de memória de caixa-preta distintas — incluindo sistemas estruturados em grafo, sistemas sumarizados por LLM e sistemas comercialmente implantados — atingindo 61,6% de taxa de sucesso em poisoning e 58,4% em injection, através de diversos domínios de conversação.
O resultado expõe que a camada de memória de agentes, normalmente tratada como um repositório passivo e confiável de contexto histórico, é na prática uma superfície de ataque tão crítica quanto o próprio prompt de entrada — e potencialmente mais perigosa, porque seus efeitos persistem e se acumulam ao longo de múltiplas interações futuras, não apenas na resposta imediata. Sistemas que armazenam e reutilizam conteúdo visual ao longo de conversas longas — assistentes pessoais, agentes de atendimento, robôs com percepção visual — precisam de verificação de integridade e filtragem adversarial já na ingestão de imagens na memória, não apenas no momento da inferência.