O estudo isola o efeito de quatro defesas contra memory-poisoning em agentes LLM rodando exclusivamente sobre tráfego benigno, mantendo backend de memória, retrieval e juiz constantes entre condições. As três defesas aplicadas no momento de escrita da memória não mostraram custo de utilidade mensurável, mas a defesa de leitura (um reranker) colocou memórias legítimas em quarentena em 33,6% dos casos avaliados, chegando a 106 falsas quarentenas em uma única conversa.
Fonte ↗Pesquisadores apresentaram o PMPA (Persistent Memory Poisoning Attack), uma técnica que injeta instruções maliciosas em fontes externas aparentemente benignas para induzir um agente a gravá-las em sua própria memória persistente, de onde elas voltam a ser executadas em sessões futuras. Testado contra o OpenClaw e o Claude Code, o ataque atingiu taxas médias de injeção de 73,7% e 66,9%, respectivamente, com taxa de sucesso entre sessões de até 81,7% no Claude Code, preservando o desempenho do agente em tarefas legítimas.
Fonte ↗Pesquisadores apresentam o PipePoison, um ataque que otimiza de ponta a ponta o envenenamento indireto da memória de longo prazo de agentes de LLM, tratando as etapas de escrita, recuperação e uso da memória como um único problema acoplado em vez de otimizá-las isoladamente. O ataque aumenta a taxa de utilização bem-sucedida do conteúdo envenenado em 19,1 pontos percentuais frente a abordagens anteriores, mantendo eficácia mesmo contra oito defesas representativas e em configurações de vítima nunca vistas antes.
Fonte ↗