Słownik Webflux Agentic Web
Bezpieczeństwo agentów

zatrucie pamięci agenta

Trwałe umieszczenie w pamięci agenta treści, która będzie wpływać na jego przyszłe decyzje — także w sesjach, w których atakujący nie uczestniczy. W odróżnieniu od zatrucia kontekstu skutek nie znika po zakończeniu rozmowy.

W Polsce nazywane też:

zatrucie pamięcizatrucie pamięci agentaskażenie pamięci długoterminowej

Wstrzyknięcie instrukcji psuje jedną odpowiedź. Zatrucie kontekstu psuje jedną rozmowę. Zatrucie pamięci psuje wszystkie następne.

Czym jest zatrucie pamięci

Zatrucie pamięci to umieszczenie w trwałym magazynie pamięci agenta treści, która będzie wpływać na jego przyszłe decyzje — preferencji, rzekomego faktu, instrukcji podanej jako zapamiętana zasada. Atak jest skuteczny wtedy, gdy agent zapisuje do pamięci automatycznie, na podstawie tego, co przeczytał lub usłyszał.

Dlaczego to osobna kategoria

Zatrucie kontekstu działa w obrębie jednego przebiegu i znika wraz z nim. Wyczyszczenie rozmowy usuwa problem.

Zatrucie pamięci przeżywa sesję. Wpis zapisany dziś zostanie doklejony do kontekstu jutro, pojutrze i przy każdej następnej rozmowie, także takiej, w której atakujący nie bierze udziału. W systemie wieloużytkownikowym może dotknąć osób zupełnie postronnych.

Skąd bierze się wektor

Z automatyzmu. Agent, który samodzielnie decyduje, co warto zapamiętać, na podstawie treści pobranej ze strony, z wiadomości albo z dokumentu, przyjmuje do pamięci dane pochodzące od kogoś obcego.

Z perspektywy modelu zapamiętany wpis wygląda tak samo jak każdy inny fragment kontekstu — nie niesie oznaczenia, że pochodzi z niezaufanego źródła.

Jak ograniczać

Zapis do pamięci traktowany jako operacja uprzywilejowana, nie jako efekt uboczny czytania. Oznaczanie źródła każdego wpisu i zachowanie tej informacji przy doklejaniu do kontekstu. Możliwość przeglądu i skasowania pamięci przez człowieka. Osobne przestrzenie pamięci dla różnych kontekstów uprawnień.

Powiązane pojęcia

OWASP Top 10 dla aplikacji agentowychRecenzowany katalog dziesięciu najpoważniejszych zagrożeń dla systemów agentowych, oznaczonych od ASI01 do ASI10, opublikowany w grudniu 2025 przez projekt OWASP GenAI Security przy udziale ponad stu ekspertów. Zbudowany na rzeczywistych incydentach, nie na prognozach.wstrzyknięty kontekstInformacje doklejane do kontekstu automatycznie przez produkt albo framework — bieżąca data, lokalizacja, ustawienia konta, wyniki wyszukiwania. Model dostaje je jako zwykły tekst i nie odróżnia ich od tego, co napisał użytkownik.Pamięć agentaMechanizmy przechowywania i odzyskiwania informacji przez agenta AI poza granicami pojedynczej sesji — umożliwiające ciągłość kontekstu i personalizację — przez kombinację pamięci krótkoterminowej (okno kontekstu) i długoterminowej (zewnętrzne bazy wektorowe). Fundament agentów które poprawiają się w czasie.Zatrucie kontekstuAtak polegający na wprowadzeniu do okna kontekstu agenta — przez zewnętrzne dokumenty, historię konwersacji lub pamięć długoterminową — fałszywych informacji które modyfikują przyszłe zachowanie agenta nawet gdy bezpośredni atak już nie jest aktywny. Szczególnie groźny przy agentach z RAG i pamięcią długoterminową.Pośrednie wstrzyknięcie instrukcjiWariant prompt injection w którym złośliwe instrukcje są ukryte w zewnętrznych danych które agent przetwarza w ramach zadania — stronach, mailach, dokumentach, bazach danych — nie w bezpośredniej komunikacji z użytkownikiem. Szczególnie groźny bo agent nie może odróżnić złośliwej instrukcji od legitymowanej treści, a atak jest trudny do wykrycia.Wstrzyknięcie instrukcjiAtak na system agentowy polegający na wstrzyknięciu złośliwych instrukcji w treść którą agent przetwarza — maile, dokumenty, strony internetowe — tak że agent wykonuje działania inne niż zamierzył użytkownik. Fundamentalna klasa zagrożeń wynikająca z tego że modele językowe nie odróżniają inherentnie "treści do przeczytania" od "instrukcji do wykonania".