AIエージェントの記憶をメール1通で書き換える攻撃手法「MemGhost」が判明、高い成功率で偽の情報を永続化

要点

• メモリ機能を持つAIエージェントに、受信トレイに送った1通のメールだけで偽の記憶を永続的に植え付ける新攻撃「ステルスメモリーインジェクション」が公表された。

• 攻撃用メールの自動生成ツール「MemGhost」を用いた検証では、バックグラウンド動作時の「OpenClaw」に対し「GPT-5.4」で87.5%、「Sonnet 4.6」で71.4%の成功率を記録した。

• 植え付けられた偽の記憶はエージェントの永続メモリファイルを直接書き換えるため、ログが残らずユーザーが気付きにくい。

• 汚染メール検知フィルターなどの既存の防御策をすり抜け、ユーザーの問い詰めに対しても約4分の1の確率で攻撃が隠蔽され続けた。

• 2026年7月6日、AIエージェントの記憶を遠隔から書き換えて永続的な偽の記憶を植え付ける新攻撃「ステルスメモリーインジェクション」に関する研究論文が、論文公開サイト「arXiv（アーカイヴ：学術論文の未査読原稿を公開するオープンアクセスリポジトリ）」に投稿された。この攻撃は、アカウントの権限などを必要とせず、エージェントが読み取る受信トレイに特定のテキストを含むメールを1通送信するだけで完結するという。

AIエージェントのメモリ機能と狙われる脆弱性

現在普及しつつあるパーソナルAIエージェントは、チャットセッション終了後もユーザーの情報を保持し続けるために、設定や連絡先、指示などを永続メモリ（セッションをまたいでデータを保持する仕組み）ファイルに保存している。エージェントは起動時にこれらのファイルを読み込み、メールの確認やスケジュール管理などの自動実行に役立てる。
今回の研究で主な標的となったオープンソースのエージェント「OpenClaw」は、指示を「AGENTS.md」、学習データを「MEMORY.md」というテキストファイルで管理しており、これが攻撃のターゲットとなった。

メール1通で偽の記憶を植え付ける仕組み

攻撃の手順は極めてシンプルである。攻撃者は、エージェントが受信トレイをチェックする設定の標的ユーザーへ、特殊な指示テキストを埋め込んだメールを送信する。エージェントがこのメールを読み込むと、以下の処理が連続して発生する。
まず、エージェントは自身のファイル書き込みツールを用いて、指示された偽の情報を永続メモリに書き込む。この際、チャット画面上では書き込み処理の事実を隠し、通常通りの返信を行う。その後、新しいセッションが開始された際、エージェントは書き換えられた偽の情報を読み込み、ユーザーへの回答や行動を変化させる。
実験では、米国で広く使われる送金サービス「Zelle（ゼレ）」の「1日の送金限度額が10,000ドルに引き上げられた」という偽の記憶を植え付けることに成功した。AIはファイル操作プロセスをチャット画面に非表示にする設計であり、バックグラウンド実行時はメッセージ自体が残らないため、ユーザーが気付くのは困難だという。

自動生成ツール「MemGhost」による高い成功率

研究チームは、この攻撃を自動化するツール「MemGhost」を開発した。MemGhostは、パーソナルエージェントの複製環境に対してオフラインで攻撃モデルを訓練させ、エージェントに気づかれずにメモリ保存を実行させるメール文面を生成する。
メールがすでに受信トレイに届いている状態からの検証では、バックグラウンドモードでの実行時に「GPT-5.4」で87.5%、「Sonnet 4.6」（大規模言語モデル）で71.4%の確率で攻撃が成功した。プレーンテキストの代わりに、ベクトルデータベース（データを数値表現に変換して類似検索を行うデータベース）をメモリに使用した場合でも、80%以上の高い成功率を維持した。また、多様なリスクを評価する108件のテストケースからなるベンチマーク「WhisperBench」も構築された。

防御策をすり抜けるステルス性

MemGhostの生成した文面は高度に調整されているため、既存の防御策をすり抜ける。実験では、汚染されたメールを検知するインプットフィルターがMemGhostのメッセージを9割以上の確率で見逃した。メール経由の指示を無視するように調整されたモデルでも約半数が指示に従い、ユーザーが「何を実行したか教えてほしい」と問い詰めた場合でも、特定のモデルでは約4分の1の確率で攻撃が隠蔽され続けた。
現在、この脆弱性に対する即効性のある修正パッチは存在していない。