污染网页智能体的记忆：针对多模态记忆的触发式攻击

这是什么？

2026 年 6 月，一篇题为 MemVenom: Triggered Poisoning of Multimodal Memories in Web Agents（arXiv:2606.10742）的论文，针对一项已悄然成为标准的设计选择提出了攻击：为网页智能体配备持久记忆。现代网页智能体不再把每个任务当作一张白纸。它们会观察页面状态——文本与截图——并把这些观测写入外部记忆存储，以便在后续任务中调回相关的既往经验。这种记忆将智能体的有效上下文延伸到远超模型输入窗口的范围，并可度量地提升任务表现。但它同时制造了一个新的、持久的攻击面，而这正是该论文所针对的对象。

与常规提示注入的关键区别在于持久性。恶意提示是短暂的：它只影响一个回合，随后消失。而被污染的记忆条目一旦写入，便可被反复调回，在未来的众多会话中左右决策。论文研究的是一种多模态且图结构的记忆——节点承载文本与图像证据，边承载语义关系——这恰恰是为提升网页智能体鲁棒性而日益采用的记忆设计。

工作原理

以下是对一项已公开发表的研究技术的描述，而非可操作的指南；下文细节刻意保持在论文本身用于阐述该威胁的层面。此处不复现任何攻击载荷。

该攻击被构造成一个小而模块化的恶意子图，而非单一的字符串，并将任何记忆污染都必须解决的两个问题分离开来。第一个是召回：让被污染的条目在恰当的时刻被检索出来。MemVenom 优化一个召回组件，使某个”携带触发条件的观测”——智能体日后将遇到的特定页面状态——促使智能体的检索器把恶意记忆重新带回上下文。第二个问题是影响：当恶意记忆进入上下文后，让智能体真正据此行动而非忽略它。为此，该技术加入一个召回后的优先级组件，推动智能体遵从被调回的内容。

值得注意的设计要点是模块化。召回触发器与优先级组件只优化一次，随后与一个可替换的目标承载组件组装在一起，后者携带攻击者希望智能体执行的内容。由于目标槽位可互换，插入新目标时无需重新优化触发器或优先级机制。这正是令人不安之处：昂贵的工作——被可靠地召回、被可靠地遵从——只需支付一次便可复用，且效果会叠加，因为同一个被污染的子图可以影响一连串相继的决策，而不仅是单一步骤。

为何重要

记忆污染之所以重要，正是因为它把”被攻陷的时刻”与”造成危害的时刻”解耦。攻击者在某次交互中植入内容；危害发生在日后一个不相关的任务中——当触发条件被满足、智能体把该条目当作自身可信经验调回之时。对于配有工具的网页智能体——能够填写表单、点击、发送消息或搬运数据——被调回但已被污染的记忆，为”读取一次恶意页面”到”下周执行攻击者选定的操作”提供了一条合理的路径。

多模态维度进一步扩大了攻击面。当证据节点包含图像与截图时，触发器不必是过滤器会标记的文本；它可以是页面的某种视觉状态。而由于记忆在智能体的各任务间共享，一次写入即可影响后续的众多会话——这与使 RAG 知识库污染比单回合注入更严重的”一对多”放大效应如出一辙。近期关于 LLM 智能体长期记忆安全的综述，如 arXiv:2604.16548，正是把这一类攻击——持久、检索触发、跨会话——列为事后最难检测者之一。

防御

把已写入的记忆当作不可信输入，而非既定事实。 根本错误在于：让智能体调回自身存储的观测时，赋予其高于对一个新网页所给予的权威。从存储中重新读取的记忆应当依据现行策略重新评估，而不能因为”是智能体自己写的”就视为可信。

在记忆内部区分数据与指令。 被调回的条目可以描述所见之物，但不应被授权去命令下一步动作。按来源标注存储的片段，并强制要求：被检索的记忆只能为推理提供信息，而不能凭自身授权任何具有副作用的动作。

约束并溯源写入。 限制什么可以写入记忆、来自哪些来源、在何种条件下。为每个条目保留出处——由哪个任务、哪个页面、哪次观测产生——以便日后被标记的动作可回溯到驱动它的条目。针对被污染记忆的事后审计工具，如 MemAudit，正是依赖这种溯源。

守护检索环节，而不仅是输入框。 由于攻击通过召回运作，只检查用户提示的防御永远看不见它。监控哪些记忆条目被检索，以及某个反复出现的特定观测是否可靠地把同一条目带回上下文——这是被精心构造的召回触发器的特征。

为记忆设定范围与有效期。 持久、无限、全局共享的记忆是最糟的情形。为条目设置时间上限，将其限定在创建它的任务或会话内，并要求任何超出其原始上下文而存活下来的内容重新推导信任，从而使单次被污染的写入无法无限期地影响不相关的任务。

Status

项目	参考	日期	备注
论文	arXiv:2606.10742	2026 年 6 月	对多模态图结构网页智能体记忆的触发式污染
目标	带记忆的网页智能体（文本 + 图像节点、语义边）	—	为提升网页智能体表现而日益采用的记忆设计
机制	召回组件 + 召回后优先级 + 可替换目标组件	—	模块化恶意子图；目标可互换而无需重新优化
关键性质	持久性与跨步骤叠加	—	攻陷与危害在时间上被解耦
背景	记忆安全综述 arXiv:2604.16548；审计 MemAudit	2026	检索触发、跨会话的污染事后难以检测

MemVenom 并未主张网页智能体的记忆不可用——论文主张的是：持久且可检索的记忆，需要与我们早已施加于任何其他不可信输入的同等警惕。对于部署带记忆智能体的团队，实用结论既具体又可验证：检索路径与写入路径都是安全边界，而智能体自己写下的条目，并不自动成为它应当信任的条目。