何が起きたか
arXiv 2610.28810（「プロンプトインジェクションから永続的な侵害へ」、2026年10月中旬投稿）は、「メモリインジェクション」を一般的な脅威モデルとして形式化しています。永続メモリメカニズムへの注入により、これまで一回限りのセッションだったプロンプトインジェクションを、セッションを跨ぐ永続的な制御に変えます。著者らは、ChatGPT Instant 5.3、Claude Sonnet 4.6、Gemini 3 Flashにわたって、NISTが定義するすべての攻撃目標が達成可能であることを実証し、Claudeの共有メモリが組織内の複数ユーザーを侵害し、ユーザープロンプトを外部に持ち出すことを可能にすることを示しました。
なぜ重要か
アシスタントとエージェントがプライマリコンテキストレイヤーとして永続メモリにますます依存するようになるにつれて、メモリインジェクションは、業界で最高位にランクされるLLM脆弱性（プロンプトインジェクション、LLM01）を、限定的な一回限りのセッションの問題から、会話リセット後も存続し組織全体に広がる可能性のある永続的な侵害に変換します。これは、単一の毒されたメモリエントリが数週間後の行動を駆動できるメカニズムであり、メモリストアを統治すべき第一級の攻撃面にします。
攻撃経路
メモリインジェクション：攻撃者が悪意のある指示を長期メモリメカニズム（個人メモリ、ワークスペースプロジェクト、カスタムスキル、組織指示、またはMCP接続リソース）に植え付けます。ネイティブメモリは自動的に取得され後続のセッションで再利用されるため、注入はセッションを跨いで伝播します。これにより、従来のプロンプトインジェクションの一回限りのセッション封じ込めを回避し、新しいセッションでも持続的な偽情報、有害な出力、プライバシー侵害、またはシミュレートされたオフライン応答不能を可能にします。
影響を受けるシステム
永続メモリを持つ商用LLM-as-a-serviceプラットフォーム：ChatGPT Instant 5.3、Claude Sonnet 4.6、Gemini 3 Flash（およびMCP接続リソース）。
緩和策
ベンダーパッチはまだありません。著者らは、導出された緩和策のほぼ半数が評価されたサービス間で未実装のままであると指摘しています。防御者は、メモリ/スキル/指示ストアに到達できる信頼できないコンテンツを高権限として扱うべきです。メモリ書き込みをスコープし、組織レベルの指示を検証/不変にし、メモリに投入できるソースを制限し、セッションを跨いで持続する注入された行動を監視すること。攻撃アーティファクト/データセット：https://github.com/PedroBarcha/Memory-injection。