SPORE: ataque extrai até 80% da memória privada de agentes de IA mesmo com isolamento de dados por usuário

Agentes baseados em LLM cada vez mais mantêm memória de longo prazo (LTM) para lembrar preferências e dados sensíveis do usuário entre sessões distintas. A defesa padrão da indústria contra vazamento desses dados é o isolamento de memória: cada LTM é vinculada a um identificador único de usuário, o que historicamente bloqueou ataques de extração que dependiam de armazenamento compartilhado entre contas — levando à suposição, segundo os autores, de que memória isolada por usuário já é suficiente como controle de segurança.

O artigo mostra que essa suposição é falsa ao identificar a interface de chamada de ferramentas (tool calling) como uma superfície de ataque negligenciada: agentes frequentemente inserem dados recuperados da memória de longo prazo diretamente nos parâmetros de invocação de uma ferramenta. Se essa ferramenta for maliciosa — por exemplo, um plugin ou integração de terceiros —, ela pode exfiltrar a memória privada do usuário sem nunca violar diretamente o isolamento entre contas, porque tecnicamente está apenas recebendo os parâmetros que o próprio agente decidiu enviar.

Adaptações ingênuas de técnicas de extração usadas no lado do usuário não funcionam nesse cenário porque o comando adversarial interfere na precisão da recuperação de memória, e porque plataformas de produção limitam o número de chamadas de ferramenta por gatilho, restringindo o orçamento de extração disponível ao atacante. O SPORE (a técnica proposta) contorna isso desacoplando o comando adversarial da âncora de recuperação — persistindo o comando na memória de curto prazo e emitindo âncoras semanticamente "puras" nas respostas da ferramenta — e usa uma otimização de cobertura geométrica sobre o espaço de embeddings para direcionar sistematicamente essas âncoras a regiões da memória ainda não exploradas. Para superar o limite de chamadas por gatilho, o SPORE ainda persiste payloads de reativação na própria memória do agente, que retomam a extração automaticamente em sessões futuras sem exigir nova interação do atacante.

Os resultados são expressivos: 80% de taxa de extração de registros quando o número de gatilhos é ilimitado, e ainda 47% com apenas 20 gatilhos — uma eficiência alta considerando as restrições de produção que a técnica foi desenhada para superar. Em implantações multiusuário, os atacantes conseguem ainda vincular os registros extraídos à identidade de usuários específicos, o que habilita vigilância direcionada, não apenas coleta de dados anônima. Na prática, isso significa que times que constroem agentes com memória persistente e integrações de terceiros (plugins, ferramentas externas) não podem tratar o isolamento por identificador de usuário como suficiente: é necessário também tratar a fronteira entre a memória do agente e qualquer ferramenta externa como uma fronteira de confiança que precisa de controles próprios, como sanitização do que é passado como parâmetro de ferramenta e limites mais agressivos a payloads persistentes na memória.