Un email bien tourné, et votre agent IA se met à croire des choses fausses sans jamais vous le dire. Des chercheurs décrivent une attaque baptisée MemGhost capable d’empoisonner la mémoire persistante d’un agent IA avec un unique message piégé, puis de dissimuler la manœuvre à l’utilisateur tout en gardant un effet durable sur les sessions suivantes.
Publié sous le titre « Stealthy Memory Injection in Persistent Personal Agents », le travail cible ces agents personnels qui lisent vos messages, agissent en arrière-plan et conservent des souvenirs au long cours. Le taux de réussite fait mal : 87,5 % de bout en bout sur OpenClaw avec GPT-5.4, et 71,4 % sur Claude Code SDK avec Sonnet 4.6.
Points clés
- MemGhost injecte une fausse mémoire durable dans un agent IA via un seul email piégé, sans être repérée par l’utilisateur
- Taux de réussite de 87,5 % sur OpenClaw (GPT-5.4) et 71,4 % sur Claude Code SDK (Sonnet 4.6)
- Testée sur plusieurs architectures et backends mémoire (Mem0, stockage fichiers), l’attaque a résisté aux défenses entrée, modèle et système
- Le banc d’essai WhisperBench couvre 108 scénarios via un flux email réel IMAP/SMTP
Une attaque en trois temps
Le principe est retors dans sa simplicité. Un email entrant ne se contente pas d’orienter une réponse immédiate. Il pousse l’agent à inscrire une information fausse dans sa mémoire persistante, laquelle sera ensuite traitée comme un fait acquis lors des interactions futures.
Les auteurs listent trois conditions pour qu’une injection porte ses fruits : l’agent doit adopter la fausse mémoire, ne rien laisser filtrer dans sa réponse visible, puis réexploiter la donnée lors d’une session ultérieure. L’attaque a aussi été testée sur des architectures voisines, NanoClaw et Hermes Agent, et sur plusieurs backends mémoire, dont un stockage sur fichiers et Mem0 à base de vecteurs.
On dépasse ici la simple injection de prompt. Le point d’entrée n’est plus seulement le texte d’un message, mais la façon dont l’agent combine lecture d’emails, mémoire persistante et automatisation. Selon le papier, l’approche est restée efficace face à des défenses aux niveaux entrée, modèle et système.
« Un adversaire distant en boîte noire livre un unique email piégé qui doit amener l’agent à injecter une mémoire empoisonnée, rester invisible dans sa réponse à l’utilisateur, et modifier son comportement futur. »
Les auteurs du papier « Stealthy Memory Injection in Persistent Personal Agents »
WhisperBench, le banc d’essai maison
Pour mesurer ce type d’attaque, les chercheurs ont bâti WhisperBench, un jeu de 108 scénarios couvrant cinq catégories de risque, avec falsification de faits comme de préférences. L’évaluation repose sur un flux email réel IMAP/SMTP et sur un skill d’agent de messagerie présenté comme authentique.
MemGhost n’est pas une vulgaire liste de prompts. Le cadre s’appuie sur un environment proxy pour simuler l’exécution d’un agent persistant, puis sur un objective proxy qui convertit l’adoption de la mémoire et la discrétion vis-à-vis de l’utilisateur en signaux de récompense. L’attaque est ensuite entraînée hors ligne, par supervision puis apprentissage par renforcement, afin de produire en une seule passe un email capable de franchir les filtres sans revenir tambouriner à la porte de la cible.
Dans les données rapportées, la méthode atteint 87,5 % de succès sur 56 cas de test retenus sur OpenClaw. Le papier cite aussi Claude Code SDK, d’autres architectures d’agents personnels et des contremesures qui n’ont pas suffi à stopper l’attaque dans les conditions décrites.
La mémoire des agents, nouveau ventre mou
La publication s’inscrit dans une série de recherches de juillet 2026 sur la sécurité des agents IA, en particulier lorsque leur mémoire devient persistante et réutilisable entre sessions. L’atout de l’attaquant : nul besoin d’un accès continu à la cible. Un seul message suffit pour écrire une fausse mémoire, puis la laisser agir plus tard.
Pour quiconque exploite des agents qui lisent des emails ou avalent d’autres contenus non fiables, l’enjeu ne se limite plus à la réponse immédiate. Il faut désormais surveiller la provenance des informations gardées en mémoire, les écritures dans cet état persistant et les moyens laissés à l’utilisateur de voir, valider ou effacer ce que l’agent a retenu. Un agent qui se souvient de tout, c’est pratique. Jusqu’au jour où il se souvient de ce qu’un inconnu a bien voulu lui glisser.
