Share-Borne AI Virus: Memory-Hopping Attacks Across LLM Agents
作者: Sidharth Pulipaka, Ansh Sharma, Stanislau Hlebik, Leonidas Raghav, Vyas Raina, Ivaxi Sheth, Mario Fritz
分类: cs.AI, cs.CL, cs.CR, cs.LG
发布日期: 2026-09-28
备注: 37 pages. Code: https://github.com/psidharth567/Share-Borne-Virus
💡 一句话要点
提出共享AI病毒以解决大语言模型的安全隐患问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 大语言模型 安全隐患 自传播攻击 文档介导传播 持久性文档 智能助手 信息共享 恶意内容
📋 核心要点
- 核心问题：现有大语言模型在信息共享中存在安全隐患，恶意内容可能通过共享文档传播。
- 方法要点：提出文档介导传播机制，恶意内容通过文档在助手之间传播并存储在持久内存中。
- 实验或效果：攻击在多个独立助手间传播，GPT-5.6 Luna在八次跳跃中覆盖60-80%的助手，显示出显著的传播能力。
📝 摘要（中文）
随着大语言模型作为状态助手的广泛应用，它们能够在交互中保留信息并使用工具读取、修改和创建持久性文档。本文研究了一种失败模式，即通过共享文档形成的间接通信渠道可能导致自传播攻击。我们引入了文档介导传播的概念，恶意内容通过文档引入并存储在助手的持久内存中，随后在创建的新文档中再现，并被其他助手获取。实验表明，攻击可以在多个独立助手之间传播，并在较长的交互序列中持续存在，甚至在更大的模拟环境中，GPT-5.6 Luna也表现出显著的传播能力，传播链可延伸至八次跳跃，覆盖60-80%的助手。这些结果表明，持久文档可以作为恶意状态的持久载体，使攻击超越单次交互并在孤立助手之间传播。
🔬 方法详解
问题定义：本文旨在解决大语言模型在信息共享过程中可能导致的安全隐患，尤其是恶意内容通过共享文档传播的问题。现有方法未能有效防范这种自传播攻击，导致助手之间的安全性降低。
核心思路：论文提出了一种文档介导传播的机制，恶意内容通过文档引入并存储在助手的持久内存中，随后在新文档中再现并被其他助手获取。这种设计旨在利用持久文档作为恶意状态的载体，突破单次交互的限制。
技术框架：整体架构包括多个阶段：首先，恶意内容通过文档引入；其次，助手将该内容存储在其持久内存中；最后，其他助手在读取文档时获取并可能再现该恶意内容。
关键创新：最重要的技术创新点在于引入了文档介导传播的概念，使得恶意内容能够在多个独立助手之间自我传播，突破了传统模型的交互限制。与现有方法相比，本文强调了持久性文档在安全攻击中的作用。
关键设计：在实验中，设置了不同的参数以模拟助手之间的交互，包括文档的存储机制和读取策略。损失函数设计考虑了恶意内容的传播效率，网络结构则优化了助手的记忆和信息检索能力。
🖼️ 关键图片
📊 实验亮点
实验结果显示，攻击能够在多个独立助手之间传播，GPT-5.6 Luna在模拟环境中表现出显著的传播能力，传播链可延伸至八次跳跃，覆盖60-80%的助手。这一发现强调了持久文档在恶意攻击中的关键作用，具有重要的安全隐患警示。
🎯 应用场景
该研究的潜在应用领域包括大语言模型的安全防护、智能助手的设计与优化以及信息共享平台的安全性提升。通过识别和防范文档介导传播的攻击，可以有效保护用户数据和系统安全，具有重要的实际价值和未来影响。
📄 摘要（原文）
Large language models are increasingly deployed as stateful assistants that retain information across interactions and use tools to read, modify, and create persistent artifacts. As these artifacts are shared between users, they form an indirect communication channel between otherwise independent assistants. We study a failure mode in which this channel enables self-propagating attacks. We introduce artifact-mediated propagation, where adversarial content introduced through an artifact (e.g. a report), is stored in an assistant's persistent memory, reproduced in a subsequently created artifact, and acquired by another assistant that later reads it. We evaluate this process in temporal human-agent universes that model artifact exchange between independently operated assistants over time, measuring whether an attack survives successive hand-offs, how many hops it reaches, and how broadly it spreads. We find that attacks can propagate across multiple independent assistants and persist over extended interaction sequences. In larger simulated environments, even GPT-5.6 Luna exhibits substantial spread, reaching 60-80% of agents with propagation chains extending to eight hops. These results show that persistent artifacts can act as durable carriers of adversarial state, allowing attacks to outlive individual interactions and spread across isolated assistants.