Memory Injection: Prompt-Injections und Jailbreaks in ChatGPT, Claude und Gemini persistent machen

Überblick

Diese Arbeit untersucht Memory-Injections gegen Anthropic Claude (Sonnet 4.6), Google Gemini (Flash) und OpenAI ChatGPT (Instant 5.3). Memory-Injection-Angriffe nutzen native, auf langfristigem Gedächtnis basierende Funktionen aus, um Prompt-Injections zu speichern. Dadurch bleiben die Auswirkungen der Injection über Chat-Sitzungen hinweg bestehen. Alle von NIST in NISTs Bericht zu adversarialem maschinellem Lernen identifizierten Ziele werden untersucht:

1. Verletzung der Privatsphäre: innerhalb einer Claude-Organisation werden Nutzerkonversationen zum Google-Drive-Konto des Angreifers exfiltriert;
2. Ausfall der Verfügbarkeit: das Modell antwortet auf den Nutzer-Prompt mit „Offline, please try again“;
3. Verletzung der Integrität: Erzeugung von Desinformation und schädlichen Inhalten;
4. Ermöglichung von Missbrauch: Jailbreaks, die allgemeinen Missbrauch ermöglichen und die oben genannten Ziele unterstützen.

Insbesondere können Claude-Organisationen so angegriffen werden, dass alle oben genannten Ziele alle Nutzer innerhalb des Workspace betreffen.

Die in dieser Arbeit untersuchten Funktionen sind: Memories, MCP-Connectoren, Claude Skills, Claude Enterprise Search, Claude Projects und Claude-Organisationsanweisungen (d. h. organisationsweite System-Prompts).

Organisation

Dieses Repository ist wie folgt gegliedert:

• Reproduction steps and artifacts: Schritt-für-Schritt-Anleitungen zur Reproduktion der Angriffe, einschließlich ergänzendem Material, wo erforderlich;
• Datasets: Prompts und andere in der Arbeit verwendete Zeichenketten sowie die entsprechenden Modellausgaben;
• Screenshots: Nachweise der Angriffe.