Was versteht man unter Speicher- und Kontextvergiftung?
Ein Speicher- und Kontextvergiftung liegt vor, wenn ein Angreifer den gespeicherten Kontext eines Agenten – beispielsweise Konversationszusammenfassungen, Embeddings oder RAG-Speicher – mit böswilligen oder irreführenden Informationen verfälscht oder manipuliert. Agenten sind auf diesen gespeicherten Kontext angewiesen, um Kontinuität über Aufgaben und Schlussfolgerungszyklen hinweg zu gewährleisten. Vergiftete Einträge verzerren daher die Schlussfolgerungen, die Planung und den Einsatz von Werkzeugen durch den Agenten, was unsichere Aktionen und den Diebstahl von Daten ermöglicht.
Einmal geschrieben, bleibt der manipulierte Kontext bestehen und wird über Sitzungen hinweg beibehalten. Diese Persistenz unterscheidet dieses Risiko von LLM01:2025 „Prompt Injection“, bei dem es sich um einmalige Eingabeaufforderungen handelt. Speicher- und Kontextmanipulation unterscheidet sich zudem von ASI01:2026 „Agent Goal Hijack“, das die direkte Manipulation von Zielen erfasst, obwohl manipulierter Speicher häufig zu einer Zielentführung führt, indem er die Art und Weise verändert, wie ein Agent seine Ziele interpretiert.
Wichtigste Erkenntnisse
- „Memory and Context Poisoning“ (ASI06) belegt Platz 6 der OWASP Top 10 für agentenbasierte Anwendungen 2026 und tritt auf, wenn Angreifer den gespeicherten Kontext eines Agenten mit bösartigen Daten verfälschen oder manipulieren, wodurch zukünftige Schlussfolgerungen, Planungen oder die Nutzung von Tools über mehrere Sitzungen hinweg verzerrt werden.
- Der Kontext umfasst Zusammenfassungen, Einbettungen und RAG-Speicher, und ein gestörtes Langzeitgedächtnis führt häufig zu einer Zielentführung (ASI01), indem es die Zielinterpretation und die Logik der Werkzeugauswahl verändert.
- Zu den gängigen Mustern zählen RAG und Embedding-Poisoning, Shared-User-Context-Poisoning, Langzeitgedächtnisdrift sowie triggerbasierte Hintertüren, wie sie bei Angriffen auf das Langzeitgedächtnis von Gemini zu beobachten waren
- Zur Prävention sind eine Inhaltsüberprüfung bei Schreibvorgängen in den Speicher, eine Speichersegmentierung zwischen Benutzern, die Rückverfolgbarkeit der Quelle sowie das automatische Löschen nicht verifizierter Speicherinhalte nach einer bestimmten Zeit erforderlich.
Warum es gefährlich ist
Ein Agent behandelt seinen gespeicherten Kontext als vertrauenswürdiges Wissen, sodass manipulierte Einträge zu Folgendem führen:
- Unbefugte Transaktionen, bei denen eine als wahr gespeicherte falsche Tatsache den Agenten dazu veranlasst, Handlungen zu genehmigen und die Prüfungen zu überspringen, die diese aufdecken würden
- Erweiterung von Berechtigungen: Wenn ein Mitarbeiter frühere Ablehnungen aus den Augen verliert und Zugriff gewährt, den er zuvor verweigert hatte
- Sicherheitslücken in Sicherheitswerkzeugen: Wenn manipulierter Speicher einem Erkennungsprogramm beibringt, Angriffsaktivitäten als Routine zu behandeln
- Fehlerhafte Geschäftsentscheidungen, die sich auf mehrere Agenten ausweiten, wenn eine fehlerhafte Richtlinie oder Tatsache im gemeinsamen Speicher zur Grundlage für die Handlungen anderer Agenten wird
- Datenlecks zwischen Benutzern und Mandanten, wenn aufgrund einer unzureichenden Trennung in gemeinsam genutzten Speichern die sensiblen Daten einer Partei in den Ergebnissen einer anderen Partei auftauchen
Typische Symptome
Manipulierte Daten gelangen über verschiedene Wege in den Speicher des Agenten:
- RAG und „Embedding Poisoning“, bei dem manipulierte Daten über eine manipulierte Quelle, einen direkten Upload oder eine Pipeline mit zu großem Vertrauen in eine Vektordatenbank gelangen
- Bearbeitung von Kontextfenstern, bei der gezielt in eine laufende Unterhaltung eingefügte Inhalte zusammengefasst oder im Speicher abgelegt werden
- Langfristige Gedächtnisdrift, bei der geringe Mengen an verfälschten Daten, Zusammenfassungen oder Rückmeldungen von anderen Agenten im Laufe der Zeit dazu führen, dass sich die Überzeugungen und Prioritäten des Agenten verschieben
- Triggerbasierte Hintertüren, bei denen manipulierter Speicher die Identität des Agenten verändert und bösartige Befehle verbirgt, die bei einem bestimmten Auslöser aktiviert werden
- „Shared Context Poisoning“: Ein Angreifer schleust Daten in einen Kontext ein, der von mehreren Akteuren im Rahmen gewöhnlicher Unterhaltungen gemeinsam genutzt wird, und nachfolgende Sitzungen reagieren darauf.
Unabhängig vom Einstiegspunkt werden nicht vertrauenswürdige Inhalte zu vertrauenswürdigem Speicher.
Schutz des Agentenspeichers
Die Schutzmaßnahmen erstrecken sich über den gesamten Lebenszyklus eines Speichereintrags, vom Schreiben bis zum Ablauf:
- Verschlüsseln Sie Daten im Speicher und bei der Übertragung und beschränken Sie den Zugriff nach dem Prinzip der geringsten Berechtigungen.
- Nur Beiträge aus authentifizierten, geprüften Quellen akzeptieren, bei jedem Eintrag eine Quellenangabe verlangen und neue Beiträge sowie Modellausgaben auf schädliche oder sensible Inhalte überprüfen, bevor sie veröffentlicht werden
- Die eigenen Ergebnisse eines Agenten sollten nicht im vertrauenswürdigen Speicher abgelegt werden, um zu verhindern, dass er seine eigenen Fehler verstärkt – auch bekannt als „Bootstrap-Poisoning“.
- Den Speicher nach Benutzersitzungen und Domänenkontext segmentieren und jedem Mandanten einen eigenen Namensraum in gemeinsam genutzten Vektor- oder Speicherspeichern zuweisen
- Unverifizierten Speicher verfallen lassen, um die Dauer des Poisoning-Effekts zu begrenzen
- Gewichtungsabruf auf Basis von Vertrauenswürdigkeit und Zugehörigkeit, bei dem zwei Faktoren – beispielsweise ein Herkunftswert sowie ein von Menschen verifiziertes Tag – erforderlich sind, bevor besonders relevante Speicherinhalte angezeigt werden, und bei dem Einträge mit geringer Vertrauenswürdigkeit im Laufe der Zeit an Gewicht verlieren
Dem Agenten-Speicher darf niemals implizit vertraut werden.
