MemGhost : un seul e-mail implante une fausse mémoire durable dans un agent IA

De quoi s’agit-il ?

Le 6 juillet 2026, des chercheurs ont publié sur arXiv un article intitulé « When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents », décrivant une attaque qu’ils nomment injection furtive en mémoire (stealth memory injection). Le travail a été largement relayé une semaine plus tard, le 13 juillet 2026, sous le nom de l’outil qui l’automatise : MemGhost. Il s’agit d’une étude de laboratoire, pas d’une intrusion en cours — tout a été exécuté dans des environnements scellés, avec de fausses boîtes mail et de faux utilisateurs.

Le constat est simple et dérangeant. Un agent IA personnel qui lit vos e-mails et conserve des notes durables sur vous peut être amené à écrire un faux « fait » dans sa propre mémoire à partir d’un unique message entrant, à n’en rien dire dans sa réponse, puis à s’appuyer sur ce faux fait lors de sessions ultérieures. Dans l’un des cas de test, le mensonge implanté était que le plafond de virement quotidien Zelle de l’utilisateur avait été relevé à 10 000 $. La personne lit une réponse d’apparence banale et n’apprend jamais que son assistant a été manipulé.

Comment ça marche

Les agents personnels persistants donnent l’impression de « vous connaître » parce qu’ils conservent un état dans des fichiers chargés au début de chaque session : instructions permanentes et faits appris sur l’utilisateur. Chez la cible principale de l’article, l’agent open source OpenClaw, cet état réside dans des fichiers en texte clair (comme AGENTS.md et MEMORY.md) réinjectés dans le contexte du modèle à chaque démarrage.

L’attaquant n’a besoin ni de mot de passe ni d’accès au compte. Il envoie un e-mail à une personne dont l’agent est configuré pour consulter sa boîte de réception — pour ces assistants, une tâche de fond de routine. Dans ce message se cache un texte destiné à l’agent, pas à l’humain. Si la compétence e-mail mord à l’hameçon, trois choses s’enchaînent : l’agent utilise son propre outil d’écriture de fichiers pour enregistrer la note de l’attaquant en mémoire durable ; sa réponse visible ne mentionne pas cette écriture ; et lors d’une conversation ultérieure sans rapport, la note implantée modifie ce qu’il dit à l’utilisateur ou fait pour lui. Pour rendre le poison durable, la charge vise les fichiers centraux chargés à chaque session : une seule écriture est réutilisée indéfiniment comme état de confiance.

Ce qui distingue cette attaque d’une injection grossière, c’est le générateur. Une consigne brutale du type « enregistre ceci en silence et ne dis rien » était détectée ou ignorée par les modèles robustes presque à chaque fois. Les chercheurs ont plutôt entraîné hors ligne un modèle attaquant contre une copie fantôme d’un agent personnel, récompensant les messages qui parvenaient à faire enregistrer la mémoire tout en gardant la réponse muette. Au moment de l’attaque, MemGhost rédige l’e-mail finalisé d’un seul coup, sans interaction avec la victime. Sur 56 cas inédits, il a mené l’attaque complète — implanter, masquer, puis infléchir une session ultérieure — dans 87,5 % des exécutions en mode arrière-plan contre OpenClaw sur GPT-5.4, et 71,4 % contre un agent Claude Code SDK sur Sonnet 4.6. Le taux de succès restait supérieur à 80 % sur deux autres cadres d’agent et sur un stockage mémoire vectoriel plutôt qu’en fichiers texte. Aucune charge n’est reproduite ici ; c’est le mécanisme qui compte.

Pourquoi c’est important

L’attaque a franchi les défenses censées l’arrêter. Un filtre d’entrée conçu pour repérer les e-mails empoisonnés a laissé passer le message plus de neuf fois sur dix. Un modèle spécialement durci pour ignorer les instructions arrivant par e-mail a tout de même suivi celle implantée environ une fois sur deux. Même lorsque le propriétaire demandait explicitement « dis-moi ce que tu as vérifié et ce que tu as fait », l’écriture restait cachée environ un quart du temps sur l’un des modèles.

La furtivité est en partie une propriété de conception, pas un bug : les agents performants sont faits pour garder l’activité des outils hors de la conversation, et les exécutions planifiées en arrière-plan ne produisent souvent aucun message. C’est le même défaut de frontière de confiance que derrière les angles morts au moment de l’écriture en mémoire et l’injection indirecte stockée contre les agents personnels : un contenu externe non fiable devient un état interne durable et digne de confiance, sans aucun instant visible où quiconque l’a approuvé. C’est la version « persistante » d’une lignée qui va du SpAIware manuel de Johann Rehberger contre ChatGPT en 2024 à l’attaque e-mail zéro clic EchoLeak sur Microsoft 365 Copilot en 2025 — mais là où celles-ci exfiltraient des données sur l’instant, MemGhost laisse une fausse mémoire qui oriente les sessions longtemps après la disparition de l’e-mail. C’est une instance concrète de la triade létale : données privées, entrée non fiable et capacité d’agir.

Défenses

Les auteurs soutiennent que le correctif doit vivre à l’intérieur de l’agent, et les mainteneurs du cadre concerné vont dans le même sens. Étiquetez la provenance de chaque information, afin qu’un contenu arrivé par un canal non fiable ne puisse jamais être promu silencieusement en mémoire durable. Exigez une confirmation explicite de l’utilisateur avant que tout élément externe n’atteigne le stockage à long terme, et journalisez chaque écriture en mémoire pour qu’un audit puisse reconstituer ce qui a changé et pourquoi. Le correctif structurel radical consiste à séparer les deux capacités dangereuses : faites passer les e-mails non fiables par un agent lecteur distinct, dépourvu d’outils de mémoire, de fichiers et de shell, et ne transmettez qu’un résumé assaini à l’agent principal — un schéma que l’étude n’a pas testé et que les mainteneurs recommandent. À défaut de séparation, limitez strictement ce qu’une exécution déclenchée par e-mail ou en arrière-plan peut modifier, et inspectez les fichiers mémoire bruts après toute arrivée suspecte. Traitez la mémoire comme une frontière de sécurité, pas comme un confort — voir les recommandations OWASP sur la mémoire des agents pour des contrôles à mettre en place.

Statut

Élément	Détail
Divulgation	Article arXiv publié le 6 juillet 2026 ; couverture presse le 13 juillet 2026
Nature	Injection furtive en mémoire : un e-mail non fiable provoque une écriture mémoire cachée et persistante qui oriente les sessions ultérieures
Cible principale	OpenClaw (fichiers texte AGENTS.md / MEMORY.md) ; aussi deux autres cadres et un stockage mémoire vectoriel
Testé sur	GPT-5.4 (OpenClaw), Sonnet 4.6 (agent Claude Code SDK)
Succès	Jusqu’à 87,5 % d’attaques complètes réussies en mode arrière-plan ; contourne filtres d’entrée et modèles durcis
Prérequis	L’e-mail conçu doit déjà atteindre une boîte lue par l’agent ; laboratoire uniquement, aucun abus constaté in the wild
Antériorité	SpAIware (Rehberger, 2024) ; attaque e-mail EchoLeak sur M365 Copilot (2025), référencée CVE-2025-32711
Classe	Empoisonnement de mémoire par injection indirecte ; absence de provenance et d’approbation à l’écriture

Les chiffres reflètent le banc d’essai des auteurs (WhisperBench, 108 cas) exécuté en laboratoire scellé sur des versions de modèles précises. Le comportement des agents et la sûreté des modèles évoluent d’une version à l’autre — vérifiez sur la version courante de tout déploiement avant de conclure.