Le blanchiment de mémoire déjoue les défenses par contenu et par lignée des agents

What is this?

Un article arXiv de juin 2026 s’attaque à un problème que la plupart des défenses de mémoire d’agent passent sous silence : un attaquant n’a pas besoin qu’un élément de mémoire reste visiblement malveillant pour qu’il devienne digne de confiance. Les agents LLM conservent de plus en plus une mémoire à long terme entre les sessions, et cette persistance crée une vulnérabilité à effet retard — un contenu non fiable stocké lors d’une session peut orienter un appel d’outil aux conséquences lourdes dans une session ultérieure, bien après que l’injection soit sortie de toute fenêtre de contexte. L’apport de l’article n’est pas un filtre de plus. C’est une preuve, étayée par des tests sur huit modèles de pointe, qu’une classe entière de défenses existantes est invalide, et une formulation précise de ce qu’une défense correcte doit faire à la place.

L’idée neuve centrale est le blanchiment (laundering). Les défenses antérieures attribuent l’autorité d’un élément de mémoire selon l’un de deux signaux : son contenu (le texte ressemble-t-il à une instruction, un classifieur le signale-t-il ?) ou son historique de dérivation (que dit la lignée sur sa provenance ?). L’article montre que ces deux signaux sont malléables — un attaquant peut laver une origine non fiable en la faisant transiter par les propres rouages de l’agent.

How it works

L’article formalise la malléabilité et identifie trois voies de blanchiment, dont aucune n’exige de charge utile d’exploitation — elles détournent des comportements d’agent ordinaires et jugés fiables :

1. Blanchiment par résumé. L’agent lit un contenu contrôlé par l’attaquant et écrit un résumé en mémoire. Le résumé porte désormais la voix de l’agent et une lignée « généré par moi », alors même que sa substance provient d’une source non fiable.
2. Écho d’outil de confiance. Le texte non fiable est renvoyé via un outil auquel l’agent fait confiance (résultat de recherche, retour de récupération, réponse d’API), de sorte que la lignée enregistre un intermédiaire fiable plutôt que l’origine réelle.
3. Corroboration fabriquée. L’attaquant plante la même affirmation dans plusieurs sources afin qu’une heuristique naïve du type « plusieurs sources concordent » l’élève au rang de haute confiance.

De ces mécanismes, l’article déduit une courte chaîne de résultats. Premièrement, aucune défense fondée sur le contenu ou la lignée n’est valide face au blanchiment — si l’autorité découle de l’un de ces signaux, le blanchiment peut la contrefaire. Deuxièmement, la liaison d’origine à l’écriture est nécessaire : la véritable source d’un élément de mémoire doit être enregistrée, de façon inviolable, au moment où il est écrit, car toute origine déduite après coup peut être réécrite. Troisièmement, une autorité liée à l’origine et non malléable, assortie d’une élévation par corroboration résistante au Sybil, est suffisante : lier l’origine à l’écriture, faire hériter les éléments dérivés de l’autorité de leurs entrées plutôt que de fabriquer une autorité nouvelle, et n’élever un élément au rang actionnable que lorsque des origines indépendantes et infalsifiables le corroborent.

La construction qui met cela en œuvre, TMA-NM (Tamper-evident Memory Authority, Non-Malleable), applique un contrôle de flux d’information non malléable à la mémoire d’agent. Sur huit modèles de pointe, les chiffres rapportés sont nets : les défenses existantes échouent avec jusqu’à 68 % de taux de réussite d’attaque par blanchiment, tandis que TMA-NM atteint 0 % de réussite d’attaque, à la fois sur les attaques directes et par blanchiment.

Why it matters

La plupart des travaux sur la sécurité de la mémoire publiés cette année — du papier de défense certifiée SMSR à l’étude systématique des attaques d’empoisonnement de mémoire et à la synthèse sur la souveraineté mnésique — se sont concentrés sur la détection des mauvaises écritures ou sur la certification de robustesse face à un nombre borné d’entrées empoisonnées. Le blanchiment est un modèle de menace différent : l’entrée empoisonnée n’est plus malveillante au moment où elle est jugée fiable, parce que l’agent lui-même l’a réécrite en quelque chose de propre. C’est pourquoi les garde-fous fondés sur les classifieurs ou la lignée sous-performent ici, et pourquoi le résultat se généralise au lieu de viser un seul produit.

Pour quiconque déploie un agent à mémoire persistante, l’avertissement pratique est que la récupération n’est pas la vulnérabilité ; l’autorité l’est. Si votre architecture laisse un résumé, un écho d’outil ou un chœur de sources jumelles promouvoir un contenu au niveau où il peut déclencher un paiement, un e-mail ou une modification de code, vous avez une surface de blanchiment — quelle que soit la qualité de votre filtre d’entrée.

Defenses

La preuve de l’article se traduit en une check-list concrète :

1. Lier l’origine à l’écriture. Enregistrez la véritable source de chaque élément de mémoire au moment de son écriture, avec une provenance inviolable (signée ou HMAC), afin que l’origine ne puisse être réattribuée ensuite.
2. Faire hériter l’autorité aux éléments dérivés, jamais la créer. Un résumé, un embedding ou une reformulation doivent porter la plus faible confiance de leurs entrées. Ne laissez jamais le fait que l’agent réécrive un contenu rehausser l’autorité de ce contenu.
3. Séparer la récupération de l’autorité. Récupérer une mémoire est acceptable ; agir dessus est l’étape à contrôler. Conditionnez les appels d’outils à fort impact à une autorité liée à l’origine, et non au fait que l’élément ait été récupéré.
4. Exiger une corroboration résistante au Sybil pour l’élévation. Avant de promouvoir une mémoire au rang actionnable, exigez des origines indépendantes qu’un attaquant ne peut pas fabriquer à bas coût — pas un décompte d’entrées textuellement similaires.
5. Red-teamer les voies de blanchiment, pas seulement l’injection directe. Testez si le résumé, les échos d’outils de confiance et la corroboration fabriquée peuvent laver une origine non fiable en une origine fiable dans votre pile. Les suites de test d’injection directe passeront à côté.
6. Journaliser les écritures pour l’analyse. Des journaux d’écriture inviolables font qu’une défense que vous jugez fiable aujourd’hui laisse malgré tout une trace d’audit si un blanchiment est découvert plus tard.

Status

Élément	Référence	Date	Notes
Papier autorité de mémoire non malléable	arXiv:2606.24322	2026-06	Formalise le blanchiment ; prouve que la liaison d’origine à l’écriture est nécessaire et suffisante avec élévation par corroboration
Benchmark rapporté	Même papier	2026-06	8 modèles de pointe ; défenses antérieures jusqu’à 68 % de réussite par blanchiment ; TMA-NM 0 % sur direct + blanchiment
Défense certifiée liée	arXiv:2606.12703 (SMSR)	2026-06	Provenance signée + récupération lissée ; certifie face à l’empoisonnement multi-session
Taxonomie d’attaques	arXiv:2606.04329	2026-06	Étude systématique des attaques d’empoisonnement de mémoire des agents LLM
Synthèse cycle de vie	arXiv:2604.16548	2026-04	Sécurité de la mémoire à long terme sur tout le cycle de vie

La bonne conclusion n’est pas « voici un meilleur filtre de mémoire ». C’est que la confiance d’un élément de mémoire doit être arrimée à sa provenance, au moment où il est arrivé — et rien de ce que fait l’agent ensuite ne devrait pouvoir la déplacer. Toute défense qui juge l’autorité à partir du texte ou de son récit après coup est, selon ce résultat, blanchissable.