무슨 일이 있었나
arXiv 2610.28810 ('프롬프트 주입에서 지속적 손상까지', 2026년 10월 중순 게시)은 '메모리 주입'을 일반 위협 모델로 공식화합니다: 지속적 메모리 메커니즘에 주입함으로써 이전의 단일 세션 프롬프트 주입을 교차 세션 지속적 제어로 전환합니다. 저자들은 ChatGPT Instant 5.3, Claude Sonnet 4.6, Gemini 3 Flash에서 실증적으로 NIST 정의 공격 목표 모두 달성 가능하며, Claude의 공유 메모리가 조직 내 다중 사용자 손상 및 사용자 프롬프트 탈취를 허용함을 보여줍니다.
왜 중요한가
어시스턴트와 에이전트가 점점 더 지속적 메모리를 기본 컨텍스트 계층으로 의존함에 따라, 메모리 주입은 업계 최고 순위 LLM 취약점(프롬프트 주입, LLM01)을 제한적이고 단일 세션 성가신 문제에서 대화 재설정에도 생존하고 조직 전반으로 확산될 수 있는 지속적 손상으로 전환합니다. 이것이 단일 오염된 메모리 항목이 몇 주 후에도 행동을 유도할 수 있는 메커니즘이며, 메모리 저장소를 관리해야 할 일급 공격 표면으로 만듭니다.
공격 경로
메모리 주입: 공격자가 장기 메모리 메커니즘(개인 메모리, 워크스페이스 프로젝트, 사용자 지정 스킬, 조직 지시, 또는 MCP 연결 리소스)에 악성 지시를 심습니다. 네이티브 메모리가 자동 검색되어 이후 세션에서 재사용되기 때문에, 주입은 세션 간 전파되어 — 전통적 프롬프트 주입의 단일 세션 격리를 우회하고 — 새로운 세션에서도 지속적 허위 정보, 유해 출력, 개인정보 손상, 시뮬레이션된 오프라인 무응답을 가능하게 합니다.
영향받는 시스템
지속적 메모리를 갖춘 상용 LLM-as-a-service 플랫폼: ChatGPT Instant 5.3, Claude Sonnet 4.6, Gemini 3 Flash (및 MCP 연결 리소스)
완화 방안
아직 벤더 패치 없음. 저자들은 파생된 완화책 중 거의 절반이 평가된 서비스에서 구현되지 않았다고 지적합니다. 방어자는 메모리/스킬/지시 저장소에 도달할 수 있는 신뢰할 수 없는 콘텐츠를 높은 권위로 취급해야 합니다: 메모리 쓰기 범위 제한, 조직 수준 지시 검증/불변화, 메모리를 채울 수 있는 소스 제한, 세션 간 지속되는 주입된 행동 모니터링. 공격 아티팩트/데이터셋: https://github.com/PedroBarcha/Memory-injection.