存储型提示注入: payload 藏进 agent 记忆，次日干净会话才引爆
Future_AGI · reddit · 2026-11-10
Reddit 上 FutureAGI 讨论一种比常规测试更危险的攻击形态——存储型提示注入（stored prompt injection）：
- 常规测试是往网页里藏指令、在同一会话里观察 agent 是否中招；而这类攻击的 payload 先被当作普通笔记写入 agent 跨会话记忆（Markdown 文件/知识图谱），攻击者根本不接触受害者的会话。
- 第二天一个干净会话把这些记忆当作可信上下文加载，就会以当时生效的权限执行恶意指令。
- 作者点出讽刺之处：大家这一周纷纷把 agent 记忆迁到 Markdown 文件和知识图谱，确实有效，但也让记忆变成任何工具调用都能追加的纯文本文件，重置后没有任何机制以怀疑的态度重新审读它。
- 作者的做法：脚本化红队测试——在一个会话植入 payload，检查后续干净会话是否触发了 deny-list 上的工具，工具链已开源。
文末向社区提问：如果你的 agent 有跨会话记忆，谁来审查写入内容？（写审查、工具白名单、改 prompt 后重跑注入测试，还是什么都没有？）
「编程与Agent」频道最新
- CopilotKit 开源 AI 同事平台 OpenBot 1.0：自托管、任意模型、11K 星 — techNmak · 2026-11-10
- safeagents 公开 RL 训练实况:用决策模型消除 reward hacking 误报 — yb2698 · 2026-11-10
- safeagents 评审基准 v2 榜单:Cloudflare clef-flash 0.893 居首 — yb2698 · 2026-11-10
- safeagents judge bench v2 发布:661 条真实 agent 调用标注放行/拦截 — yb2698 · 2026-11-10
- NimbusImage 开放 agentic 控制:Claude 可直接分析显微图像 — arjunrajlab · 2026-11-10
- TRL 用 agent 轨迹做 SFT,2B 模型任务成功率 5.5%→34.4% — SergioPaniego · 2026-11-10