Doneu a un assistent de la IA una memòria i accés a la vostra safata d’entrada i donareu a un atacant una manera de reescriure el que l’agent de la IA creu que sap sobre vosaltres. Un sol correu electrònic pot enganyar aquest agent perquè desi un «fet» fals sobre l’usuari, oculti el canvi i dirigeixi discretament les seves respostes en sessions posteriors.

Quan funciona, la persona llegeix una resposta d’aspecte normal i mai s’assabenta que el seu assistent ha estat manipulat.

Els investigadors van anomenar aquest atac «injecció furtiva de memòria» i van crear una eina que escriu els correus electrònics automàticament. L’article, «When Claws Remember but Do Not Tell,», es va publicar a arXiv el 6 de juliol de 2026.

Primer, què fan aquests assistents

Un agent personal és un assistent de la IA que es queda. En comptes d’oblidar-ho tot quan acaba un xat, guarda notes sobre tu en fitxers: les teves preferències, els teus contactes i el que li has demanat que fes. Llegeix aquestes notes al començament de cada nova sessió, per això sembla que et coneix.

Molts d’aquests agents també poden actuar per tu, tot llegint el teu correu electrònic, consultant el teu calendari i executant petites tasques programades mentre ets fora.

OpenClaw, l’agent de codi obert utilitzat com a objectiu principal de l’estudi, manté aquest estat en fitxers de text pla: alguns contenen les seves instruccions permanents (AGENTS.md), d’altres contenen el que ha après sobre tu (MEMORY.md). N’introdueix les principals al context del model a l’inici de cada sessió.

Aquestes notes són el nucli del producte. També en són l’objectiu.

L’atac d’un sol correu electrònic

L’atacant no necessita la teva contrasenya ni el teu compte. Envia un correu electrònic a algú l’agent del qual està configurat per revisar la seva safata d’entrada, cosa que, per a aquests assistents, és una feina rutinària. Enterrat en aquest correu electrònic hi ha un text dirigit a l’assistent, no a tu.

Si l’habilitat de correu electrònic de l’agent pica l’ham, passen tres coses seguides. L’agent utilitza les seves pròpies eines d’arxiu per escriure la nota falsa de l’atacant a la seva memòria persistent. La seva resposta visible no informa que ho ha fet. I més tard, en una nova conversa, aquesta nota falsa canvia el que et diu o fa per tu.

En un dels casos de prova de l’estudi, la mentida plantada va ser que el límit d’enviament diari de Zelle de l’usuari s’havia augmentat a 10.000 dòlars.

No notes el canvi per diversos motius. L’assistent amaga els passos entre bastidors per disseny, de manera que el moment en què edita un fitxer no apareix mai al xat. Pocs usuaris obren mai els fitxers de memòria RAW per llegir-los. I quan l’agent s’executa segons una programació en segon pla, sovint no envia cap missatge, de manera que no hi ha res a notar.

Perquè el verí s’enganxi, l’eina apunta als fitxers principals que carreguen cada sessió, de manera que es carrega un sol script a cada sessió posterior en lloc d’esperar a ser extret d’un magatzem de memòria separat.

L’atac està generat per una eina que els investigadors anomenen MemGhost. Els seus creadors van entrenar un model d’atacant fora de línia contra una còpia ombra d’un agent personal i correus electrònics de recompensa que guardaven la memòria i mantenien la resposta en secret. En el moment de l’atac, escriu el correu electrònic complet un sol cop, sense intercanvis amb la víctima.

En 56 casos de prova nous, MemGhost va dur a terme l’atac complet, plantant un record fals, amagant-lo i després influint en les respostes de l’agent en una sessió posterior. Va funcionar en el 87,5 % de les execucions en mode de segon pla contra OpenClaw en GPT-5.4 i en el 71,4 % contra un agent Claude Code SDK en Sonnet 4.6.

Aquestes eren execucions de referència aïllades i comencen només després que el correu electrònic ja hagi arribat a una safata d’entrada que l’agent llegeix, de manera que aquí no hi ha res que comprovi si una càrrega útil real esborra primer el filtre de correu brossa o l’autenticació del remitent.

L’èxit va ser generalment inferior en les proves en mode de primer pla, on l’usuari pot veure la resposta. En mode de segon pla, es va mantenir per sobre del 80 % en cadascun dels altres dos marcs d’agents i en un emmagatzematge de memòria basat en vectors en lloc dels fitxers simples. L’equip també va construir WhisperBench, un punt de referència de 108 casos que abasta riscos des de mals consells mèdics fins a pèrdues de diners i sabotatge de seguretat.

La majoria de les versions rudimentàries d’aquest truc fallen. Un «desa això en silenci i no diguis res» contundent era detectat o ignorat pels models més forts gairebé sempre; el generador entrenat és el que va fer pujar els números. També es va escapar de les defenses destinades a aturar aquest tipus d’atac.

Un filtre d’entrada creat per detectar correus electrònics enverinats va perdre el missatge de MemGhost més de nou vegades de cada deu, i un model especialment endurit per ignorar les instruccions que arriben per correu electrònic encara seguia el missatge plantat aproximadament la meitat de les vegades. Fins i tot quan es va obligar el propietari a preguntar directament «digues-me què has comprovat i què has fet», l’atac va romandre ocult aproximadament una quarta part del temps en un model.

No s’espera cap pedaç ràpid. La mateixa política de seguretat d’OpenClaw tracta la injecció ràpida per si sola com fora de l’abast d’una correcció, tret que també creui un límit d’autorització, política d’eines, aprovació o zona de proves. MemGhost no creua cap d’aquests, ja que funciona a través de l’eina d’escriptura en memòria del mateix agent, i els investigadors han demostrat exactament aquest tipus d’injecció contra aquest marc.

Els autors de l’estudi argumenten que la solució veritable ha de residir dins de l’agent: etiquetar d’on prové una informació, preguntar a l’usuari abans que res arribi a la memòria duradora i registrar cada script. Fins que això no quedi resolt, la configuració exposada és qualsevol agent que llegeixi correu no fiable i pugui escriure a la seva pròpia memòria sense preguntar.

La solució directa és mantenir aquestes dues tasques separades. Si no, cal limitar  quina cosa pot canviar una execució activada per correu electrònic i comprovar els fitxers de memòria després que arribi alguna cosa sospitosa.

OpenClaw va confirmar aquesta postura a The Hacker News i va rebutjar la configuració de l’agent per part de l’article. El seu guia de seguretat indica als operadors que encaminin el correu electrònic no fiable a través d’un agent lector separat, sense memòria, fitxers ni eines de shell, i només passa un resum a l’agent principal, i això l’article no ho va provar.

També argumenta que el nivell del model és important: les execucions d’OpenClaw utilitzaven GPT-5.4, un model d’última generació actual, però els autors van ometre Claude Opus 4.6 pel cost, i OpenClaw va assenyalar HackMyClaw, un repte públic on milers de correus electrònics d’injecció no van aconseguir obtenir un secret d’un agent de l’Opus 4.6. Aquella prova tenia com a objectiu el robatori de dades, no l’enverinament de memòria, per la qual cosa no respon directament a l’article.

OpenClaw ha dit que està sospesant els controls d’escriptura en memòria per a contingut extern, incloent-hi la procedència, els registres d’auditoria i les sol·licituds de confirmació, en la mateixa direcció que recomana l’article. The Hacker News també s’ha posat en contacte amb els autors de l’article i actualitzarà aquesta història amb qualsevol resposta.

La versió manual va ser la primera

El 2024, l’investigador Johann Rehberger va mostrar el mateix moviment manualment contra ChatGPT, i va plantar instruccions a la seva memòria a llarg termini a través de contingut web enverinat perquè continués filtrant dades d’un usuari en xats futurs. Ell l’anomenava SpAIware. OpenAI va tancar la ruta de filtració de dades, però la capacitat d’escriure en memòria a partir de contingut no fiable es va mantenir.

Un any més tard, va arribar a un producte d’enviament. EchoLeak (CVE-2025-32711), revelat per Aim Security el juny de 2025, feia servir un correu electrònic de text ocult per fer que Microsoft 365 Copilot lliurés dades internes de l’empresa quan l’usuari li feia una pregunta normal més tard. Microsoft el va qualificar de crític i el va apedaçar, i no es va informar de cap abús real.

A l‘estudi del cas posterior va explicar com es va escapar dels filtres de Copilot. Tots dos van demostrar que el contingut que llegeix una IA pot contenir ordres, lliurades per un correu electrònic que pot enviar qualsevol.

El que afegeix MemGhost és la persistència: la versió de Rehberger s’havia de plantar manualment i EchoLeak només filtrava dades en el moment en què es demanaven, però en el cas de MemGhost una càrrega útil automatitzada converteix un correu electrònic en una memòria falsa que es queda al lloc i dirigeix ​​les sessions molt després que el missatge hagi desaparegut.

Això és un resultat de laboratori, no un robatori en curs. Els investigadors van executar-ho tot en entorns de prova segellats amb safates d’entrada falses i usuaris falsos, i l’article documenta només les proves de laboratori, no l’ús contra persones reals; diuen que tenen previst divulgar les seves troballes, els patrons d’atac i el punt de referència als fabricants dels agents i models afectats.

L’estudi té en compte la discreció en part perquè els agents amb aquestes capacitats estan dissenyats per mantenir l’activitat de les seves eines fora del xat. L’únic model que es va delatar ho va fer imprimint els seus passos intermedis a la resposta, i els investigadors esperen que la detecció sigui més difícil a mesura que els agents millorin el fet de treballar en silenci.

El veritable problema és que un missatge exterior esdevé un context durador i de confiança dins de l’agent, sense que en cap moment sigui visible l’aprovació per part de ningú.

Actualització: els autors responen

16 de juliol de 2026: el primer autor de l’article, Yechao Zhang, va dir a The Hacker News que l’equip ha provat des de llavors el pas de lliurament que l’article no va cobrir, i va qualificar l’atac com a «gairebé una amenaça del món real, no només d’un artefacte de laboratori.» L’equip va connectar un compte de Gmail de la víctima a OpenClaw a través de Google OAuth i l’API de Gmail, i després va enviar les càrregues útils des d’un compte de Gmail normal que controlava. El correu va superar el lliurament normal de Gmail i va arribar a la safata d’entrada en lloc de la carpeta de correu brossa, i l’agent el va llegir.

Més de la meitat dels casos van acabar amb la càrrega útil escrita a la memòria persistent, sense cap avís ni confirmació explícita a l’usuari. Algunes variants es van filtrar o es van encaminar a la llista de correu brossa, cosa que l’equip ja esperava. L’execució de Gmail no apareix a l’article; Zhang va dir que aviat s’actualitzarà.

Zhang va dir que la divulgació coordinada ha començat, amb l’equip de seguretat d’OpenClaw notificat el 14 de juliol i sense cap resposta substancial des d’aleshores, i l’equip ha ofert als proveïdors afectats els dispositius per avaluar i reproduir l’atac de forma privada. WhisperBench, el conjunt de dades de referència i el sistema d’avaluació automatitzat, s’està publicant obertament. El generador de càrrega útil MemGhost, el model entrenat i el codi de generació, es retenen a l’espera del procés de divulgació i una nova revisió de seguretat.