Un Email Envenenado Puede Reescribir Secretamente la Memoria de tu Asistente de IA

Puntos clave

• MemGhost es un ataque recién descrito que utiliza un email para plantar un recuerdo falso y duradero dentro de un asistente de IA sin conocimiento del usuario.
• El ataque funciona en agentes de IA, software que lee tu email y realiza acciones en tu nombre, que tienen una función de memoria a largo plazo habilitada.
• La técnica es una forma de inyección de indicaciones, instrucciones ocultas enterradas en contenido ordinario que la IA lee como comandos.
• Los productos incluyendo ChatGPT de OpenAI, Claude de Anthropic y Gemini de Google ahora ofrecen funciones de memoria que podrían ser objetivo.
• Los usuarios pueden verificar y eliminar recuerdos almacenados en la configuración de la mayoría de los principales asistentes de IA en este momento.

Dale a un asistente de IA una memoria y un buzón de correo, y habrás entregado a un atacante una forma de reescribir silenciosamente lo que cree que sabe sobre ti. Ese es el hallazgo contundente detrás de MemGhost, un nuevo método de ataque descrito por primera vez por ThreatVectr, una de nuestras publicaciones hermanas.

La mecánica es inquietante en su simplicidad. Un atacante envía al objetivo un email. Ningún humano necesita abrirlo ni hacer clic en nada. El agente de IA, software que lee tu bandeja de entrada y actúa en tu nombre, lo abre automáticamente y encuentra instrucciones enterradas en el texto. Esas instrucciones le dicen al asistente que almacene un dato falso sobre ti y que guarde silencio al respecto. El asistente obedece.

A partir de ese momento, cada conversación futura está moldeada por la mentira plantada.

¿Deberían preocuparse los usuarios?

Sí, con un contexto importante. El ataque es real y técnicamente sólido, pero requiere una configuración específica para funcionar: tu asistente de IA debe tener tanto acceso a la bandeja de entrada como una función de memoria a largo plazo activada. No todas las configuraciones tienen ambas.

Aun así, esa combinación se está volviendo común. Las funciones de memoria ahora son estándar en productos convencionales. ChatGPT, Claude y Gemini ofrecen recuerdo persistente, la capacidad de llevar datos sobre ti entre conversaciones separadas. Muchas empresas también están conectando agentes de IA directamente en sistemas de correo electrónico corporativo. La superficie de ataque está creciendo.

El truco subyacente, la inyección de indicaciones, no es nuevo. Los investigadores lo documentaron públicamente por primera vez en 2022, y se encuentra en la parte superior de la lista de riesgos del Open Worldwide Application Security Project para aplicaciones de modelos de lenguaje grande, la tecnología detrás de chatbots como ChatGPT. Lo que MemGhost añade es algo que los ataques anteriores carecían: permanencia. Una inyección de indicaciones estándar termina cuando cierras la ventana de chat. Una memoria envenenada persiste en cada sesión futura.

El peligro práctico es sutil en lugar de dramático. Un asistente manipulado podría dirigir tus decisiones, sesgar un resumen o impulsar una recomendación, todo mientras se basa en un "dato" que un atacante escribió meses antes.

Lo que puedes hacer ahora. Si utilizas un asistente de IA con memoria habilitada, abre su configuración y lee lo que ha almacenado. ChatGPT, Claude y Gemini te permiten a todos ver y eliminar recuerdos individuales. Elimina cualquier cosa que no reconozcas. Piénsalo dos veces antes de darle a un agente de IA acceso sin supervisión y las 24 horas a una bandeja de entrada que recibe correo de extraños, especialmente una cuenta de trabajo.

Para empresas que despliegan agentes de IA, la orientación es más precisa. Trata cada documento, email y página web que lee el agente como entrada no confiable. Registra todo lo que el agente escribe en la memoria. Requiere que un humano apruebe cualquier nuevo dato almacenado antes de que se fije. Asume que los intentos de inyección de indicaciones llegarán, porque lo harán.