Apa yang terjadi
arXiv 2610.28810 ('From Prompt Injection to Persistent Compromise', diposting pertengahan Okt 2026) merumuskan 'injeksi memori' sebagai model ancaman umum: dengan menyuntikkan ke dalam mekanisme memori persisten, ini mengubah injeksi prompt yang tadinya hanya satu sesi menjadi kontrol persisten lintas-sesi. Para penulis mendemonstrasikan secara empiris di ChatGPT Instant 5.3, Claude Sonnet 4.6, dan Gemini 3 Flash bahwa semua tujuan serangan yang didefinisikan NIST dapat dicapai, dan bahwa memori bersama Claude memungkinkan kompromi beberapa pengguna dalam organisasi serta eksfiltrasi prompt pengguna.
Mengapa penting
Seiring asisten dan agen semakin bergantung pada memori persisten sebagai lapisan konteks utama mereka, injeksi memori mengubah kerentanan LLM peringkat teratas industri (injeksi prompt, LLM01) dari gangguan terbatas satu sesi menjadi kompromi tahan lama yang bertahan dari reset percakapan dan dapat menyebar ke seluruh organisasi. Inilah mekanisme di mana satu entri memori yang diracuni dapat mendorong perilaku berminggu-minggu kemudian, membuat penyimpanan memori menjadi permukaan serangan kelas satu yang harus diatur.
Vektor serangan
Injeksi memori: penyerang menanam instruksi berbahaya ke dalam mekanisme memori jangka panjang (memori pribadi, proyek ruang kerja, keterampilan kustom, instruksi organisasi, atau sumber daya yang terhubung ke MCP). Karena memori asli diambil otomatis dan digunakan kembali di sesi berikutnya, injeksi menyebar antar sesi — melewati penahanan satu sesi dari injeksi prompt tradisional dan memungkinkan disinformasi persisten, keluaran berbahaya, kompromi privasi, atau ketidakresponsifan offline simulasi bahkan di sesi baru.
Sistem yang terdampak
Platform komersial LLM-as-a-service dengan memori persisten: ChatGPT Instant 5.3, Claude Sonnet 4.6, Gemini 3 Flash (dan sumber daya yang terhubung ke MCP)
Mitigasi
Belum ada patch vendor. Para penulis mencatat hampir separuh dari mitigasi yang mereka turunkan masih belum diimplementasikan di seluruh layanan yang dievaluasi. Pembela harus memperlakukan konten yang tidak dipercaya yang dapat mencapai penyimpanan memori/keterampilan/instruksi sebagai otoritas tinggi: batasi penulisan memori, validasi/buat instruksi tingkat organisasi tidak dapat diubah, batasi sumber yang dapat mengisi memori, dan pantau perilaku injeksi yang bertahan antar sesi. Artefak serangan/dataset: https://github.com/PedroBarcha/Memory-injection.